Patch Tuesday Oktober 2026: 3 Zero-Days, Server-Lücken mit 9,8

Microsofts Patch-Tuesday-Updates für Oktober 2026 sind am 13. Oktober 2026 erschienen. Die wichtigsten Punkte für kleine und mittlere Unternehmen (KMU): ein aktiv ausgenutzter Windows-Shell-Zero-Day, RCE-Lücken mit 9,8 auf Servern, kritische Outlook-Lücken über die Vorschau und ein letztes Update für Exchange.

Die Zahlen: je nach Quelle rund 1.400

Die Quellen sind sich bei der Gesamtzahl dieses Monats nicht einig, weil die Zählweisen unterschiedlich sind. BleepingComputer zählt 1.411 am 13. Oktober selbst veröffentlichte Lücken (ohne 348 bereits früher im Monat geschlossene), SecurityWeek 1.413 und SecPod 1.407 CVEs. „Rund 1.400" ist daher genauer als eine einzelne exakte Zahl. Microsoft hat in diesem Monat 3 Zero-Days geschlossen: einer wird ausgenutzt, zwei waren öffentlich bekannt.

Drei Zero-Days

CVE-2026-96951 (Windows Shell, 8,8): Eine Command-Injection-Lücke, mit der ein Angreifer den Mark-of-the-Web-Schutz (MOTW) umgehen kann. Microsoft vermerkt eine festgestellte Ausnutzung; die CISA hat die Lücke am 13. Oktober in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. Ein Benutzer muss eine präparierte Datei öffnen. Microsoft hat keinen Workaround veröffentlicht; das kumulative Oktober-Update ist der Fix.

CVE-2026-108398 (.NET Framework, 8,8): Erlaubt einem authentifizierten Angreifer, Windows Defender Application Control (WDAC) zu umgehen und Code in einem geschützten Prozess auszuführen. Öffentlich bekannt, keine gemeldete Ausnutzung.

CVE-2026-92707 (MessagePack-CSharp, 5,3): Eine Denial-of-Service-Lücke über das Netzwerk. Öffentlich bekannt, keine gemeldete Ausnutzung. Betrifft vor allem Anwendungen mit .NET/SignalR.

Highlights auf Servern

Priorität: Server mit DHCP oder MSMQ, Domänencontroller und aus dem Internet erreichbare Remote-Desktop-Gateway-Server. Die QUIC-Lücken sind für Dienste mit QUIC wichtig.

Outlook und Exchange

Zwei kritische Outlook-RCEs (9,8): CVE-2026-70291 und CVE-2026-88156. Microsoft gibt für beide an, dass der Vorschau-/Lesebereich ein Angriffsvektor ist: Schon das Ansehen einer präparierten E-Mail im Lesebereich kann die Lücke auslösen, ohne die Nachricht zu öffnen oder etwas anzuklicken. Spielen Sie das Outlook-Update so schnell ein wie die Client-Updates.

Exchange CVE-2026-70571 (8,1, Kritisch): Details finden Sie in unserem separaten Sicherheitshinweis. Kurz: KB5128895 für Exchange SE, KB5128896 für 2019 CU15; die 2016/2019-Updates erhalten nur Organisationen mit Period-2-ESU, und dies ist das letzte Sicherheitsupdate für 2016/2019.

Update-Nummern für Windows Server (13. Oktober 2026)

Ein weiterer Hinweis: Die Extended Security Updates (ESU) für Windows Server 2012/R2 endeten am 13. Oktober 2026. Laut Microsofts Lebenszyklus-Seiten erscheinen nach diesem Datum keine Sicherheitsupdates mehr für 2012/R2. Wenn Sie noch 2012/R2 betreiben, erreichen Sie die Updates dieses Monats nicht mehr; der Umstieg auf eine unterstützte Version kann nicht länger warten.

Aktionsplan für KMU

1. Kumulative Updates installieren: Zuerst Server (vor allem DHCP, MSMQ, Domänencontroller, RD Gateway, Exchange, SharePoint), dann alle Clients. Achten Sie darauf, dass Neustarts abgeschlossen sind; ein ausstehendes Update schützt nicht.
2. Outlook im gleichen Tempo aktualisieren: Wegen der Vorschau-Lücken die Clients nicht hinter die Server zurückstellen.
3. Exchange prüfen: KB5128896/KB5128897/KB5128898 auf 2016/2019 mit ESU und KB5128895 auf SE kontrollieren. Ohne ESU muss die Entscheidung für Exchange-Upgrade oder -Migration in diesem Monat fallen.
4. Nicht unterstützte Systeme auflisten: Server 2012/R2 (ESU beendet) und Exchange 2016/2019 ohne Support. Für diese Systeme gibt es kein „später patchen" mehr; isolieren Sie sie und legen Sie ein festes Migrationsdatum fest.
5. Ergebnis prüfen: Kontrollieren Sie in WSUS-/Intune-Berichten fehlgeschlagene Updates und Geräte mit ausstehendem Neustart.

Wie kann Doğa Network helfen?

Unser Team unterstützt Sie bei der geplanten, kontrollierten Verteilung der Oktober-Updates auf Servern und Clients, bei Exchange-SE-Upgrades oder der Migration zu Microsoft 365 sowie bei Migrationsplänen und Lizenzberechnungen für nicht unterstützte Systeme wie Server 2012/R2 und Exchange 2016/2019. Sie erreichen uns unter +90 850 888 3642 oder per E-Mail an hi@doga.network.

Quellen

• MSRC – Security Update Guide, Oktober 2026
• MSRC – CVE-2026-96951 (Windows Shell)
• CISA – Aufnahme in den KEV-Katalog, 13. Oktober 2026
• MSRC – CVE-2026-70571 (Exchange Server)
• Microsoft Support – SharePoint Server SE, 13. Oktober 2026 (KB5002927)
• Microsoft Support – Windows Server 2025 (KB5126646), Server 2022 (KB5126655), Server 2019 (KB5126651), Server 2016 (KB5126868)
• Sekundärquellen zur Gesamtzahl: BleepingComputer (1.411), SecurityWeek (1.413)