Stand: 14.10.2026, 10:30 Uhr. Beim Patchday im Oktober 2026 hat Microsoft nach Berichten von heise online mehr als 1.400 Sicherheitslücken in Windows, Office und weiteren Produkten geschlossen. Eine davon wird bereits angegriffen. Dieser Beitrag ordnet den Patchday Oktober 2026 für Unternehmen ein, die keine eigene IT-Abteilung haben: Was ist passiert, wen betrifft es, und was lohnt sich heute zu prüfen?
Was am Patchday im Oktober 2026 passiert ist
Microsoft hat am 13. Oktober 2026 Updates für weit mehr als 1.400 Lücken veröffentlicht. KrebsOnSecurity nennt den September mit knapp 1.000 Korrekturen als bisherigen Rekord. Die genaue Zahl weicht je nach Zählweise ab: Security-Insider nennt 1.413 Lücken, davon rund 70 als kritisch eingestuft. Verlässlich ist daher nur die Größenordnung: mehr als 1.400.
Für Ihre Entscheidung zählt eine Lücke besonders. Laut Security-Insider und Born wird CVE-2026-96951 in der Windows Shell bereits ausgenutzt (CVSS 8.8). Sie erlaubt es, den Schutz „Mark of the Web“ zu umgehen, also die Kennzeichnung, an der Windows Dateien aus dem Internet erkennt und vor dem Öffnen warnt. Zwei weitere Lücken waren vor dem Patchday öffentlich bekannt, aber nach diesen Berichten nicht als ausgenutzt gemeldet: eine in .NET Framework (CVE-2026-108398) und eine in der Bibliothek MessagePack-CSharp (CVE-2026-92707).
Wen es betrifft und wen nicht
Die ausgenutzte Lücke betrifft nach heise online Windows 10 und 11 sowie verschiedene Windows-Server-Ausgaben, darunter Windows Server 2016 und 2025. Praktisch ist damit jedes Unternehmen betroffen, das Windows-Rechner einsetzt.
Der Angriff braucht allerdings einen Menschen: Laut Security-Insider muss ein Anwender die präparierte Datei öffnen oder dem Link folgen. Ein E-Mail-Anhang ist der naheliegende Weg. Wie weit die Angriffe verbreitet sind, ist laut heise derzeit nicht bekannt.
Weitere Produkte stehen auf der Liste der Updates. heise nennt Office, Active Directory, Dynamics 365, Exchange Server, Windows DHCP und den Kernel. Wer Exchange Server selbst betreibt, findet bei Born die Lücke CVE-2026-70571: ein Pufferüberlauf, der per präparierter E-Mail ohne Anmeldung ausgelöst werden kann. Laut Born setzt ein Angriff gute Kenntnisse der Zielumgebung voraus; die Ausnutzung stuft Microsoft dennoch als wahrscheinlich ein. Ein Angriff darauf ist nach diesen Berichten nicht bekannt.
Nicht betroffen von der Update-Arbeit sind Cloud-Dienste, die Microsoft selbst betreibt. Security-Insider berichtet, dass Microsoft mehrere Cloud-Lücken bereits am 8. Oktober 2026 selbst behoben hat und Kunden dafür weder ein Update noch eine Konfigurationsänderung brauchen.
Was Sie jetzt prüfen sollten
- Ist die Update-Funktion aktiv? heise weist darauf hin, dass Windows-Nutzer sicherstellen müssen, dass Windows Update aktiv ist und die aktuellen Patches installiert sind. Prüfen Sie das stichprobenartig auf Arbeitsplätzen, die selten im Büro sind.
- Windows-Clients zuerst. Security-Insider schreibt, Administratoren sollten das Update für die ausgenutzte Shell-Lücke zuerst verteilen. Die Clients sind der Weg, über den Dateianhänge geöffnet werden.
- Exchange Server nicht vergessen. Wer Exchange selbst betreibt, plant das Sicherheitsupdate für CVE-2026-70571 ein. Wie Sie Ankündigungen von Microsoft regelmäßig im Blick behalten, steht in Microsoft 365 Message Center.
- Server mit Testlauf. Server-Updates erst auf einem unkritischen System oder außerhalb der Geschäftszeit einspielen, mit Rückfallweg (Snapshot oder Sicherung).
- Geräte ohne Update-Weg erfassen. Rechner, die nicht automatisch Updates bekommen, brauchen einen Namen und einen Verantwortlichen. Fragen Sie nach, ob die Endgeräte noch unterstützt werden: Laut Security-Insider ist es für Windows 11 24H2 Home und Pro das letzte Update.
- Mitarbeitende kurz informieren. Ein Hinweis genügt: Unerwartete Anhänge und Links nicht öffnen, im Zweifel nachfragen.
Einordnung: Kosten, Risiken, was sich ändert
Die Zahl 1.400 beeindruckt, ist aber kein Maß für Ihren Aufwand. Die Windows-Updates sind laut Born kumulativ: Das monatliche Update enthält alle Sicherheitskorrekturen dieser Version. Der Aufwand liegt in der Organisation, nicht in der Menge: Wer verteilt, wer testet, wer prüft, ob es angekommen ist.
Das eigentliche Risiko ist die Lücke zwischen Veröffentlichung und Einspielen. Bei einer bereits ausgenutzten Lücke ist jede Woche Verzug eine Woche Angriffsfläche. Mittelfristig lohnt sich deshalb ein fester Rhythmus mit klarer Zuständigkeit, auch gegenüber einem externen Dienstleister: Wer prüft nach dem Patchday, ob die Updates auf allen Geräten angekommen sind, und wer meldet es Ihnen? Ob Sicherheitsnachweise, etwa im Rahmen von NIS2, für Sie gelten, klärt NIS2: Wer ist betroffen?. Das ist ein Hinweis, keine Rechtsberatung.
Wenn niemand im Haus sagen kann, wer bei Ihnen für Updates verantwortlich ist, hilft die Technische Begleitung (ab 1.900 € netto im Monat) oder ein abgegrenztes System-Audit (6.500 € netto, vier Wochen).
Wann Sie nichts tun müssen
Ihre Geräte laufen mit automatischen Updates, die Zuständigkeit ist geklärt und ein Dienstleister bestätigt Ihnen den Stand nach dem Patchday: Dann reicht ein Blick, ob die Updates installiert sind. Ohne eigenen Exchange Server entfällt Punkt 3. Wer ausschließlich Microsoft-Cloud-Dienste nutzt, muss für die genannten Cloud-Lücken laut Security-Insider nichts tun.
Panik ist nicht angebracht. Eine ausgenutzte Lücke, die einen geöffneten Anhang voraussetzt, ist ein Grund zur Eile bei den Clients, nicht für Betriebsunterbrechungen.
Quellen