Am 13. Oktober 2026 hat Microsoft ein Patch-Tuesday-Sicherheitsupdatepaket mit Rekordumfang veröffentlicht. Die genaue Zahl der behobenen Schwachstellen variiert je nach Quelle – laut Tenable geht es um 1407 CVE, während in einigen Veröffentlichungen von 1413 die Rede ist. Unabhängig von der exakten Zahl ist das ein beispielloser Umfang: Nach Angaben von Tenable hat Microsoft im Jahr 2026 bereits mehr als 4000 CVE geschlossen. Zu den behobenen Schwachstellen gehört CVE-2026-96951, eine Command-Injection-Schwachstelle in Windows Shell mit einem CVSS-Score von 8.8, die bereits in realen Angriffen ausgenutzt wird und in den CISA-KEV-Katalog aufgenommen wurde, mit einer Frist zur Behebung für Bundesbehörden bis zum 16. Oktober 2026. Alle Organisationen, die Windows einsetzen, müssen die Updates mit höchster Priorität einspielen.
CVE-2026-96951: ausgenutzte Schwachstelle in Windows Shell
Die Schwachstelle CVE-2026-96951 ist eine Command-Injection (CWE-77) in der Komponente Windows Shell mit einem CVSS-Score von 8.8. Laut CVE-Eintrag ermöglicht die Schwachstelle einem nicht autorisierten Angreifer, Schutzmechanismen über das Netzwerk zu umgehen. Eine erfolgreiche Ausnutzung erlaubt es, den Schutzmechanismus Mark of the Web (MOTW) zu umgehen – ein Mechanismus, der aus dem Internet heruntergeladene Dateien kennzeichnet und den Benutzer vor dem Öffnen warnt.
Für die Ausnutzung ist eine Benutzerinteraktion erforderlich: Der Angreifer muss das Opfer dazu bringen, einem Link zu folgen oder einen bösartigen Anhang zu öffnen, der per E-Mail oder über einen Messenger zugestellt wurde. Eine erzwungene Ausnutzung ohne Benutzeraktion ist nicht möglich.
Microsoft bestätigt, dass die Schwachstelle bereits vor Veröffentlichung des Updates ausgenutzt wurde. Details zu den Angriffen – wer dahintersteht, welche Organisationen angegriffen wurden und welche Indikatoren einer Kompromittierung mit der Kampagne verbunden sind – wurden weder von Microsoft noch von CISA offengelegt. Die Entdeckung der Schwachstelle schreibt Microsoft Forschern von Fujitsu und Anthropic sowie einem unabhängigen Forscher zu, allerdings ließen sich für diese Zuschreibung keine unabhängigen Bestätigungen finden.
CVE-2026-108398: WDAC-Umgehung über .NET Framework
Die zweite bedeutende Schwachstelle – CVE-2026-108398 (CVSS 8.8) – betrifft .NET Framework und wurde bereits vor Veröffentlichung des Patches öffentlich gemacht. Nach Angaben von Tenable und Rapid7 ermöglicht es die Schwachstelle einem Angreifer mit bereits vorhandenem lokalem Zugriff, eine bösartige .NET-Assembly zur Ladenutzung durch einen geschützten Prozess zu registrieren und damit die Beschränkungen von Windows Defender Application Control (WDAC) zu umgehen. Eine Benutzerinteraktion ist nicht erforderlich.
Dies macht CVE-2026-108398 besonders gefährlich als Post-Exploitation-Technik: Ein Angreifer, der sich bereits im System festgesetzt hat, kann sie nutzen, um Applikationskontrollrichtlinien zu umgehen, nicht autorisierten Code auszuführen und den Endpunktschutz zu schwächen. Das .NET-Framework-Update vom 13. Oktober 2026 behebt diese Schwachstelle. Die Entdeckung wird James Forshaw von Google Project Zero zugeschrieben.
Wichtiger Hinweis: In einigen Veröffentlichungen wurden die Kennungen CVE-2026-108398 und CVE-2026-92707 vertauscht – die Links auf MSRC führen zur Beschreibung einer anderen Schwachstelle. Unabhängige Quellen – Tenable, Rapid7 und GitHub Advisory – bestätigen, dass CVE-2026-108398 zu .NET Framework gehört und CVE-2026-92707 zu MessagePack-CSharp.
CVE-2026-92707: Denial-of-Service in MessagePack-CSharp
Die Schwachstelle CVE-2026-92707 (CVSS 5.3, CWE-1325) betrifft die Bibliothek MessagePack-CSharp und ermöglicht die Auslösung eines Denial-of-Service durch unkontrollierte sequentielle Speicherallokation bei der Deserialisierung von Daten, die vom Angreifer kontrolliert werden. Laut offiziellem Sicherheitshinweis des Projekts sind Versionen vor 2.5.303 sowie Versionen von 3.0 bis vor 3.1.9 anfällig. Die behobenen Versionen sind 2.5.303 und 3.1.9. Die Schwachstelle wurde vor Veröffentlichung des Patches öffentlich gemacht.
CVE-2026-21413: kritischer Buffer Overflow
Besondere Aufmerksamkeit verdient CVE-2026-21413 (CVSS 9.8) – ein Heap-basierter Buffer Overflow, der zu Remote Code Execution führen kann. Die Ausnutzung kann bei der Generierung einer Miniaturansicht oder einer Vorschau eines speziell präparierten RAW-Bildes ausgelöst werden – der Benutzer muss die Datei nicht einmal öffnen. Allerdings gibt es eine Diskrepanz bei der Zuordnung: Ausgangsmaterial verweist auf die Komponente Raw Image Extension, während der NVD-Eintrag das betroffene Produkt als LibRaw identifiziert und Talos als CNA angibt. Bis diese Diskrepanz geklärt ist, sollte geprüft werden, ob Updates für beide Komponenten verfügbar sind.
Umfang des Releases und neuer Ansatz zur Priorisierung
Laut Tenable umfasst das Oktober-Release etwa 69 kritische und mehr als 1300 wichtige Schwachstellen, die 301 Produkte und Komponenten betreffen. Der Großteil der Schwachstellen steht im Zusammenhang mit Rechteausweitung und Remote Code Execution. Ein solcher Umfang setzt einen Trend fort: Im Vormonat hat Microsoft rund 1000 Schwachstellen geschlossen.
Parallel zu den Updates hat Microsoft das Konzept der „Risikokohorten“ (risk cohorts) vorgestellt – eine Gruppierung von CVE, die aus Kundensicht eine ähnliche Bewertung erfordern. Microsoft betont, dass Kohorten ein Ausgangspunkt und kein Ersatz für die individuelle Analyse jeder einzelnen CVE anhand der Kriterien Ausnutzbarkeit, Angriffsvektor und Benutzerinteraktion sind. Zuvor haben wir bereits über die Probleme der Microsoft-Schwachstellenklassifizierung geschrieben – das neue Werkzeug soll die Priorisierung bei solchen Volumina teilweise erleichtern.
Empfehlungen zur Priorisierung
- CVE-2026-96951 – sofortige Installation des Patches. Die Schwachstelle wird ausgenutzt, ist in CISA KEV aufgenommen, die Frist für Bundesbehörden ist der 16. Oktober 2026. Sie betrifft alle Windows-Systeme mit der Komponente Windows Shell.
- CVE-2026-108398 – Priorität für Organisationen, die WDAC und .NET Framework einsetzen. Besonders kritisch in Umgebungen, in denen ein Risiko einer Kompromittierung mit lokalem Zugriff besteht.
- CVE-2026-21413 – Priorität für Systeme, die RAW-Bilder verarbeiten. Der CVSS-Score von 9.8 und die Möglichkeit einer Ausnutzung ohne Öffnen der Datei machen diese Schwachstelle äußerst gefährlich.
- CVE-2026-92707 – Aktualisierung von MessagePack-CSharp auf Version 2.5.303 oder 3.1.9 für Anwendungen, die diese Bibliothek verwenden.
Der Patch Tuesday im Oktober setzt eine neue Messlatte beim Umfang der Korrekturen, doch die Schlüsselfrage ist nicht die Zahl der CVE, sondern die Geschwindigkeit der Reaktion auf bestätigte Bedrohungen. Erste Priorität hat CVE-2026-96951: Der Patch muss bis zum 16. Oktober installiert sein, da die Ausnutzung bereits läuft. Für CVE-2026-108398 ist es entscheidend zu bewerten, ob WDAC in Ihrer Infrastruktur ausgerollt ist – falls ja, ist das .NET-Framework-Update nicht weniger dringend. Organisationen, die mit großen Update-Volumina arbeiten, sollten das Konzept der Risikokohorten von Microsoft als zusätzliches Sortierwerkzeug berücksichtigen, jedoch nicht als Ersatz für die eigene Bewertung der Ausnutzbarkeit jeder einzelnen Schwachstelle.
