Eine Grafik mit rotem Hintergrund, die eine digitale IT-Struktur in einem abstrakten Design darstellt. Geeignet für technische Themen.
Patchday Oktober 2026: Outlook-Lücken im Vorschaufenster und ein aktiver Zero-Day
Am 13. Oktober 2026 hat Microsoft mehr als 1.400 Schwachstellen geschlossen, rund 70 davon kritisch. Eine Lücke in der Windows Shell wird bereits aktiv ausgenutzt, und fünf kritische Outlook-Lücken lassen sich schon dann ausnutzen, wenn eine E-Mail nur im Lesebereich angezeigt wird. Dazu kommen Supportenden für mehrere Windows-Versionen. Dieser Beitrag zeigt, was jetzt Vorrang hat, und zeigt, warum ein Patchday dieser Größenordnung vor allem eine Frage der Organisation ist.
Das Wichtigste in Kürze
- Der Patchday Oktober 2026 schließt mehr als 1.400 Schwachstellen, davon rund 70 kritisch.
- Aktiv ausgenutzt wird CVE-2026-96951 in der Windows Shell (CVSS 8.8): Die Lücke umgeht die Mark-of-the-Web-Warnung bei heruntergeladenen Dateien. Die US-Behörde CISA hat sie am 13. Oktober in ihren Katalog ausgenutzter Schwachstellen aufgenommen.
- Fünf kritische Outlook-Lücken mit CVSS 9.8 führen Code bereits beim Anzeigen einer Nachricht im Vorschaufenster aus, ohne Klick des Empfängers.
- Für Exchange Server (CVE-2026-70571) und Active Directory (CVE-2026-70229) stuft Microsoft eine Ausnutzung als wahrscheinlich ein.
- Windows 11 24H2 Home/Pro erhält diesen Monat sein letztes Update, Windows Server 2022 verlässt den Mainstream-Support.
Umfang des Patchdays Oktober 2026
Nach dem Rekord-Patchday im September legt der Oktober noch einmal deutlich zu: 1.413 Schwachstellen umfasst der Patchday, darunter rund 70 kritische, fast alle übrigen sind als wichtig eingestuft. Zum Vergleich: Für den September zählt Microsoft inzwischen 999 Einträge.
Fast 60 Lücken lassen sich über das Netzwerk ohne Anmeldung und ohne Zutun eines Nutzers ausnutzen, darunter der Windows DHCP Server (CVE-2026-96934), zwei Lücken in Microsoft QUIC (CVE-2026-100219, CVE-2026-105016) und die Windows-Textdarstellung (CVE-2026-97814) – alle mit CVSS 9.8.
Microsoft gruppiert die Einträge in diesem Monat zusätzlich in sogenannte Risk Cohorts, also Gruppen mit gemeinsamen Prüffragen. Allein die Gruppe für Office und Mail-Clients umfasst 135 CVEs. Das ist keine offizielle Schweregrad-Kategorie, hilft aber bei der Frage, welche Systeme gemeinsam betrachtet werden sollten.
Zahlen zum Patchday Oktober 2026
- 1.413 geschlossene Schwachstellen, davon rund 70 kritisch
- 1 aktiv ausgenutzter Zero-Day mit CVSS 8.8
- 5 kritische Outlook-Lücken mit CVSS 9.8, ausnutzbar über das Vorschaufenster
- fast 60 Lücken ohne Anmeldung und ohne Nutzerinteraktion über das Netzwerk angreifbar
Zero-Day in der Windows Shell
Die aktiv ausgenutzte Lücke CVE-2026-96951 betrifft die Windows Shell. Über eine Command Injection umgehen Angreifer die Mark-of-the-Web-Prüfung. Das ist der Mechanismus, der Dateien aus dem Internet kennzeichnet und vor dem Öffnen eine Sicherheitswarnung auslöst. Fällt diese Warnung weg, wirkt eine präparierte Datei aus einer E-Mail oder einem Download wie eine harmlose lokale Datei.
Der Nutzer muss die Datei öffnen oder einem Link folgen. Das klingt nach einer Hürde, ist in der Praxis aber genau der Schritt, auf den Phishing-Kampagnen ausgelegt sind. Die fehlende Warnung nimmt den Mitarbeitenden die letzte Gelegenheit, misstrauisch zu werden.
Vorab öffentlich bekannt, aber bislang nicht ausgenutzt, ist außerdem CVE-2026-108398 im .NET Framework (CVSS 8.8). Sie erlaubt angemeldeten Angreifern, die Anwendungssteuerung WDAC zu umgehen und Code in einem geschützten Prozess auszuführen.
Outlook: Gefahr schon im Lesebereich
Der zweite Schwerpunkt liegt bei Outlook. Fünf kritische Lücken mit CVSS 9.8 lösen Codeausführung bereits dann aus, wenn eine präparierte Nachricht im Vorschaufenster angezeigt wird. Der Empfänger muss die E-Mail weder öffnen noch einen Anhang anklicken.
| CVE | Art der Lücke | CVSS |
|---|---|---|
| CVE-2026-70242 | Heap-Überlauf | 9.8 |
| CVE-2026-70291 | Heap-Überlauf | 9.8 |
| CVE-2026-97016 | Heap-Überlauf | 9.8 |
| CVE-2026-88156 | Stack-Überlauf | 9.8 |
| CVE-2026-97749 | Double Free | 9.8 |
Ähnlich gelagert ist CVE-2026-70300 in Word: Ein präpariertes WordPerfect-Dokument mit verknüpfter Grafik führt ebenfalls bei der Anzeige im Vorschaufenster Code aus. Laut Microsoft ist bislang keine dieser Lücken ausgenutzt worden. Für Office LTSC für Mac 2021 und 2024 stehen einzelne Updates (unter anderem zu CVE-2026-70291 und CVE-2026-88156) noch aus.
Wichtig für IT-Admins
Bei Lücken im Vorschaufenster hilft keine Schulung. Der Empfänger tut nichts Falsches, die Mail muss lediglich im Posteingang erscheinen.
Schutz bieten hier ausschließlich das Update selbst und eine vorgelagerte E-Mail-Filterung.
Exchange, Active Directory und weitere Serverdienste
Für Unternehmen mit eigener Serverlandschaft sind die folgenden Einträge relevant. Für die ersten beiden, Exchange und Active Directory, hält Microsoft eine Ausnutzung für wahrscheinlicher („Exploitation More Likely“).
| CVE | Komponente | Typ | CVSS |
|---|---|---|---|
| CVE-2026-70571 | Exchange Server | Remotecodeausführung über präparierte E-Mail | 8.1 |
| CVE-2026-70229 | Active Directory Domain Services | Remotecodeausführung | 8.1 |
| CVE-2026-102866 | SharePoint Server | Token-Fälschung, Identitätsübernahme | 8.1 |
| CVE-2026-102214 | Hyper-V | Ausbruch aus der Gast-VM | 8.8 |
| CVE-2026-70147 | PostScript-Druckertreiber | Remotecodeausführung | 9.8 |
Auffällig sind zudem zwei Lücken im Network Policy Server (CVE-2026-100222 und CVE-2026-85806), die zwar mit CVSS 9.8 bewertet, von Microsoft aber nur als „wichtig“ eingestuft sind. Wer NPS etwa für WLAN- oder VPN-Authentifizierung einsetzt, sollte sich nicht allein auf die Einstufung des Herstellers verlassen.
Mehrere kritische Lücken in Cloud-Diensten wie Bookings, Dataverse und Azure App Service hat Microsoft bereits serverseitig behoben. Hier ist kein Handeln nötig.
Supportende: Diese Versionen fallen heraus
Neben den Sicherheitsupdates markiert der Oktober mehrere Lebenszyklus-Termine:
- Windows 11 24H2 Home und Pro sowie Windows 10 Enterprise LTSB 2016 erhalten ihr letztes Update
- Windows 11 23H2 Enterprise und Education werden am 10. November 2026 zum letzten Mal versorgt
- Windows Server 2022 verlässt den Mainstream-Support, Sicherheitsupdates gibt es im erweiterten Support bis Oktober 2031
- Windows 11 25H2 Home und Pro werden bis Oktober 2027 versorgt
Geräte, die auf einer auslaufenden Version stehen bleiben, bekommen ab dem nächsten Patchday keine Sicherheitsupdates mehr. Das ist kein abstraktes Risiko: Jede künftige Lücke bleibt auf diesen Geräten dauerhaft offen.
So gehen Sie beim Patchen vor
1
Zero-Day zuerst
Das Windows-Update gegen CVE-2026-96951 auf allen Clients verteilen.
2
Office direkt danach
Die Outlook- und Word-Lücken wirken ohne Klick, die Updates sollten nicht auf den nächsten Wartungstermin warten.
3
Exchange und Domänencontroller einplanen
CVE-2026-70571 und CVE-2026-70229 früh angehen, aber mit Testphase.
4
Testring nutzen
Eine repräsentative Gruppe vorab versorgen und beobachten. Dass das kein Formalismus ist, zeigen die Exchange-Ausfälle nach den Oktober-Updates, die erst rund einen Tag nach der Installation auftraten.
5
Versionsstände prüfen
Geräte auf Windows 11 24H2 Home/Pro identifizieren und das Upgrade auf 25H2 planen.
6
Erfolg messen
Installationsquote auswerten und Nachzügler gezielt nachziehen.
Was dieser Patchday über den IT-Betrieb verrät
Mehr als 1.400 Einträge in einem Monat lassen sich nicht mehr Stück für Stück lesen und bewerten. Der Oktober zeigt deutlich, dass sich Sicherheit nicht am einzelnen Update entscheidet, sondern daran, wie der Betrieb rund um die Updates organisiert ist. Genau hier liegen die Stärken eines vollständig gemanagten IT-Betriebs – unabhängig davon, ob er intern oder durch einen Dienstleister erbracht wird.
- Wissen, was im Haus läuft: Die Prioritäten dieses Monats hängen davon ab, ob ein Unternehmen Exchange on-premises betreibt, NPS für das WLAN nutzt oder noch Geräte auf Windows 11 24H2 hat. Mit einem laufend aktuellen Inventar ist die Frage „Sind wir betroffen?" in Minuten beantwortet statt in Tagen.
- Priorisieren nach Ausnutzbarkeit: Wer Herstellerhinweise, CISA-Meldungen und die eigene Umgebung zusammen betrachtet, erkennt schnell, dass hier Zero-Day und Outlook-Vorschaufenster vorgehen. Diese Bewertung gehört zu einem festen Prozess, nicht zu einer Einzelentscheidung unter Zeitdruck.
- Testen, bevor es alle trifft: Die Exchange-Probleme nach den Oktober-Updates traten erst nach rund 24 Stunden auf. Testgruppen, Rollout-Wellen und ein Rückweg sind in einem gemanagten Betrieb von vornherein festgelegt.
- Den Lebenszyklus im Blick behalten: Werden Versionsstände zentral verwaltet, ist der Wechsel von 24H2 auf 25H2 ein geplanter Schritt und kein Nachzügler-Projekt, das erst auffällt, wenn keine Updates mehr kommen.
- Klare Zuständigkeit: Es ist eindeutig geregelt, wer am Patchday handelt, wer Ausnahmen genehmigt und wer prüft, ob alle Geräte versorgt sind. Wird die IT nebenher betreut, bleibt ein Patchday wie dieser im Zweifel liegen - nicht aus Nachlässigkeit, sondern weil das Tagesgeschäft Vorrang hat.
- Mehrere Schutzschichten zusammen denken: Ein Betrieb, der Patchmanagement, E-Mail-Filterung, Endpoint-Schutz und Rechtevergabe gemeinsam steuert, überbrückt die Zeit zwischen Veröffentlichung und Installation deutlich besser als einzelne, voneinander getrennte Maßnahmen.
Ob ein Unternehmen diese Aufgaben selbst abbildet oder abgibt, hängt von Größe, Personal und Anspruch ab.
Entscheidend ist, dass sie überhaupt jemand verbindlich übernimmt.
Bedeutung für Geschäftsführung und Entscheider
Für die Geschäftsführung ist die Zahl 1.413 weniger wichtig als zwei Fragen: Wie schnell kommen kritische Updates auf allen Geräten an, und welche Systeme laufen auf Versionen, die keine Updates mehr erhalten? Beides lässt sich messen und sollte regelmäßig berichtet werden.
Die Outlook-Lücken machen deutlich, dass Mitarbeitende in solchen Fällen nichts falsch machen müssen, damit ein Angriff gelingt. Die Verantwortung liegt dann vollständig beim Betrieb der IT. Wer diese Verantwortung klar zuordnet und mit festen Abläufen hinterlegt, reduziert das Risiko deutlich stärker, als es einzelne Notfallmaßnahmen können.
FAQ zum Patchday Oktober 2026
Welche Updates aus dem Patchday Oktober 2026 sind am dringendsten?
Zuerst das Windows-Update gegen den aktiv ausgenutzten Zero-Day CVE-2026-96951, direkt danach die Office-Updates wegen der Outlook-Lücken im Vorschaufenster. Exchange Server und Domänencontroller sollten früh, aber mit Testphase folgen.
Hilft es, das Vorschaufenster in Outlook abzuschalten?
Das kann die Angriffsfläche bis zur Installation der Updates verkleinern, ersetzt das Update aber nicht. Es ist eine Übergangslösung, kein dauerhafter Schutz.
Muss für die Cloud-Lücken etwas getan werden?
Nein. Die kritischen Lücken in Diensten wie Bookings, Dataverse und Azure App Service hat Microsoft selbst behoben.
Was passiert mit Geräten auf Windows 11 24H2 Home oder Pro?
Sie erhalten nach dem Oktober-Update keine Sicherheitsupdates mehr. Ein Upgrade auf Windows 11 25H2 sollte zeitnah eingeplant werden.
Fazit
Der Patchday Oktober 2026 ist größer als jeder zuvor, doch die Prioritäten sind klar: der Zero-Day in der Windows Shell, die Outlook-Lücken im Vorschaufenster und danach Exchange und Active Directory. Dazu kommen Supportenden, die Geräte dauerhaft ungeschützt lassen, wenn niemand den Wechsel plant.
Patchdays dieser Größenordnung zeigen, dass IT-Sicherheit heute weniger vom einzelnen Update abhängt als von einem Betrieb, der Inventar, Priorisierung, Tests und Zuständigkeiten verlässlich organisiert.
Fanden Sie den Blogbeitrag hilfreich und interessant?
Vielen Dank für Ihre Rückmeldung!