Die Sicherheitsupdates im Oktober Microsoft Patch Tuesday für das Jahr 2026 brachten eine rekordverdächtige Anzahl an Korrekturen. Der Server PCWorld berichtet von 1.416 behobenen Schwachstellen, während Infosecurity Magazine, BleepingComputer und ITdaily übereinstimmend 1.411 angeben. Laut PCWorld ist dies der erste Monat, in dem Microsoft die Marke von tausend Korrekturen überschreitet, und es sind mehr Fehler als das Unternehmen im gesamten Jahr 2025 behoben hat (etwas über 1.100).
Die Redaktionen unterscheiden sich auch in der Anzahl der kritischen Fehler. PCWorld zählt 85, davon 67 mit Remote Code Execution (RCE). Infosecurity Magazine und ITdaily berichten von 70 kritischen Schwachstellen, respektive 57 RCE unter den kritischen.
Was brachte Microsoft Patch Tuesday im Oktober 2026
Die Korrekturen betreffen Windows, Office, Exchange Server, SQL Server, Hyper-V, Skype for Business, Microsoft Defender,.NET Framework, Visual Studio und die Cloud-Dienste von Microsoft. Laut PCWorld hat Microsoft 42 Fehler in Windows als kritisch eingestuft, darunter 30 RCE. In den Office-Produkten wurden 194 Schwachstellen behoben, darunter 25 kritische RCE, im Exchange Server sieben Fehler, darunter die kritische RCE CVE-2026-70571. Eine kritische Schwachstelle zur Erhöhung der Berechtigungen, CVE-2026-102866, ist auch in SharePoint vorhanden und laut PCWorld kann sie ohne Benutzeranmeldung ausgenutzt werden.
Infosecurity Magazine wies auf die RCE-Schwachstelle CVE-2026-70242 im Vorschaufenster von Outlook mit einem CVSS-Score von 9.8 hin. Der Server Automox erklärte dazu: „Eine sorgfältig gestaltete E-Mail löst einen Pufferüberlauf im Heap aus, sobald sie im Vorschaufenster von Outlook angezeigt wird. Der Empfänger öffnet die Nachricht nicht und klickt auf nichts. Keine Authentifizierung, keine Benutzerinteraktion.“
Laut Infosecurity Magazine steht der Anstieg der Fehlerzahlen im Zusammenhang mit dem Einsatz von Künstlicher Intelligenz, insbesondere der Technologie MDASH für mehrfaches Scannen. Das Update von Microsoft Edge 155.0.4283.45 vom 8. Oktober behebt 247 Fehler in Chromium, die nicht in die Gesamtzahl einfließen.
Ausgenutzte Schwachstelle CVE-2026-96951
Eine der Korrekturen wird bereits aktiv von Angreifern ausgenutzt. Der Fehler CVE-2026-96951 in Windows Shell umgeht den Mark of the Web-Schutz und ermöglicht es, die Herkunft einer ausführbaren Datei aus dem Internet zu verschleiern. Laut Infosecurity Magazine hat er einen CVSS-Score von 8.8, eine niedrige Angriffs-Komplexität und erfordert keine Authentifizierung oder vorherige Berechtigungen. Jack Bicer, Direktor für Schwachstellenforschung bei Action1, erklärte: „Angreifer können speziell gestaltete Dateien über Phishing-E-Mails, Instant Messaging oder bösartige Websites verbreiten, wobei zur Ausnutzung lediglich eine Benutzerinteraktion erforderlich ist.“
Vor der Veröffentlichung des Updates waren zwei weitere Fehler bekannt: CVE-2026-108398 (Umgehung einer Sicherheitsfunktion im.NET Framework) und CVE-2026-92707 (Denial of Service in MessagePack-CSharp).
Ende des Supports für Windows 11 24H2
Laut ITdaily haben Windows 11 24H2 Home und Pro das letzte Sicherheitsupdate erhalten und werden keine weiteren Updates mehr bekommen. PCWorld empfiehlt ein Upgrade auf Windows 11 25H2 oder 26H2. Auch Windows Enterprise LTSB 2016 hat das letzte Update erhalten, und der Support für Windows 11 23H2 Enterprise und Education endet nach dem nächsten Monat. Das Update für Windows 11 trägt die Bezeichnung KB5127646.
PCWorld berichtet, dass das erweiterte Supportprogramm für Windows 10 bis zum 12. Oktober 2027 verlängert wurde. Laut ITdaily können Einzelpersonen Windows 10 bis Oktober 2027 ohne Zahlung für Sicherheitsupdates nutzen.
Laut einer Umfrage von Socura haben 22 Prozent der britischen Chief Information Security Officers (CISO) sich krankgemeldet oder Urlaub genommen, um dem Patch Tuesday zu entkommen. Der nächste Patch Tuesday ist für den 10. November 2026 geplant.