Microsoft Patch Tuesday: Rekord mit 1407 Sicherheitslücken am 13. Oktober
Veröffentlicht am: 27.10.2026 um 05:15 Uhr | Redaktion boerse-global.de
Mit dem umfangreichsten Patch Tuesday seiner Unternehmensgeschichte hat Microsoft am 13. Oktober 2026 eine Rekordzahl an Sicherheitslücken adressiert. Der Konzern stellte Korrekturen für 1407 Common Vulnerabilities and Exposures (CVE) bereit. Abweichende Zählungen wiesen 1411 Schwachstellen bei BleepingComputer, 1413 bei Rapid7 und 1416 bei PCWorld aus.
Das Gesamtpaket umfasst 176 Updates für Windows, Office, Exchange Server, SharePoint, SQL Server, Azure sowie diverse Entwicklungswerkzeuge und übersteigt damit das kumulierte Volumen des gesamten Jahres 2025. Erstmals wurden in einem einzelnen Monat mehr als 1000 Schwachstellen behoben, was nach Juli und September 2026 bereits den dritten Monatsrekord innerhalb von vier Monaten darstellt.
Hohe Risiken in Windows, Office und Netzwerkdiensten
Unter den im Oktober geschlossenen Lücken befinden sich rund 70 kritische Schwachstellen sowie drei Zero-Day-Lücken. Den Schwerpunkt bildete das Betriebssystem Windows mit 1102 Korrekturen, gefolgt von Office mit 134, Entwicklungstools mit 61, SharePoint Server mit 36, SQL Server mit 22, Azure mit 15 und Exchange Server mit 7 Lücken.
Als einzige Schwachstelle wurde CVE-2026-96951 in der Windows Shell (CVSS-Wert 8,8) bereits aktiv vor dem Release ausgenutzt, um den Schutzmechanismus Mark of the Web zu umgehen. Betroffen sind Windows 10, Windows 11 in den Versionen 23H2 bis 26H2 sowie Windows Server 2012 R2 bis 2025. An der Entdeckung war unter anderem das KI-Modell Claude von Anthropic beteiligt.
Die US-Behörde CISA nahm die Lücke am 13. Oktober in ihren KEV-Katalog auf und setzte Bundesbehörden eine Frist von drei Tagen bis zum 16. Oktober zur Behebung.
Weitere Zero-Days betrafen die WDAC-Umgehung CVE-2026-108398 im .NET Framework sowie eine Denial-of-Service-Schwachstelle (CVE-2026-92707) in MessagePack-CSharp. Für die Active-Directory-Lücke CVE-2026-70229 stufte das Sicherheitsunternehmen Tenable eine Ausnutzung als wahrscheinlicher ein.
Angesichts der massiven Zunahme an Sicherheitslücken ist ein stabiles und korrekt konfiguriertes System wichtiger denn je. Dieser kostenlose Report zeigt Ihnen, wie Sie typische Fehler beheben und Windows 11 ohne teure IT-Hilfe sicher im Griff behalten. 5 häufige Fehler jetzt selbst beheben
Zudem beheben die Aktualisierungen fünf Outlook-Schwachstellen zur Remotecodeausführung mit einem Schweregrad von 9,8. Bei mindestens zwei Lücken genügt laut Microsoft bereits das bloße Öffnen der Nachricht im Vorschaufenster. CrowdStrike nannte CVE-2026-70291 und CVE-2026-88156 als über das Lesefenster angreifbar, während Rapid7 dies für sämtliche fünf Schwachstellen feststellte.
Microsoft stufte eine Ausnutzung als weniger wahrscheinlich ein; öffentlich bekannt waren die Lücken zuvor nicht. Ähnliche Vektoren über die Vorschau betrafen Word (CVE-2026-70300 für WordPerfect-Dokumente) und PowerPoint (CVE-2026-88178), während Lücken in Excel (11 CVEs) und Visio (3 CVEs) mit Werten von 8,8 eine direkte Interaktion erfordern.
In Diensten wie DHCP, Remote Desktop Gateway und NPS wurden 55 Lücken geschlossen, die ohne vorherige Authentifizierung und ohne Nutzerinteraktion ausnutzbar sind. Eine Rechteausweitung in SharePoint Server (CVE-2026-102866) ermöglicht zudem die vollständige Kontenübernahme. Dustin Childs von der Zero Day Initiative bezeichnete das Ausmaß als Grenzpunkt für das betriebliche Patch-Management.
Wer sich täglich mit E-Mails und Kalendern befasst, sollte nicht nur auf die Sicherheit achten, sondern auch die effiziente Nutzung beherrschen. Erfahren Sie in diesem kostenlosen Spezialkurs, mit welchen professionellen Kniffen Sie Outlook optimieren und Ihre Daten besser schützen können. 7 Zeitspar-Tricks für Outlook-Nutzer entdecken
Für Administratoren wurden strenge Fristen empfohlen: drei Tage für ausgenutzte Lücken (Priorität P0), sieben Tage für kritische internetexponierte Systeme (P1), 14 Tage für interne Hosts (P2) sowie die Einplanung restlicher Systeme für den Zyklus am 10. November 2026 (P3). Für Windows 10 LTSB 2016 endete die reguläre Update-Versorgung am 13. Oktober 2026.
Außerplanmäßige Eil-Updates für Entwicklerplattformen
Der administrative Druck hielt auch nach dem regulären Patch-Tag an: Am 25. Oktober 2026 veröffentlichte Microsoft außerplanmäßige Updates für .NET 8, 9, 10 und .NET 11 RC3. Grund war ein Brotli-Pufferüberlauf (CVE-2026-111497), den Microsoft mit CVSS v3.1 8,1 und Google unter CVSS v4 als kritisch mit 9,2 einstufte.
Unauthentifizierte Angreifer können Prozessspeicher auslesen oder manipulieren, was zu Informationslecks, Dienstverweigerungen oder Rechteausweitungen führen kann. Betroffen sind die Dekompression in ASP.NET Core, Antworten über HttpClient sowie APIs in System.IO.Compression. Zur Bereinigung dienen die Versionen .NET 8.0.33, 9.0.22, 10.0.14 und .NET 11 RC3.
Zusätzlich schloss der Eil-Patch die Linux-Tarball-Lücke CVE-2026-114148 (CVSS 7,8) und lieferte vollständige Nachbesserungen für CVE-2026-70197 sowie CVE-2026-102870 nach, die am 13. Oktober unvollständig behoben worden waren.
Die Eil-Korrekturen betreffen auch Visual Studio 2019, 2022 und 2026 sowie PowerShell 7.4, 7.5 und 7.6. Eine Sicherheitswarnung vom 26. Oktober 2026 hob die Dringlichkeit der Implementierung für diese betroffenen Entwicklungsumgebungen und Runtimes hervor.
