Wenn Ihr Unternehmen Windows nutzt, installieren Sie das Update vom Oktober 2026 diese Woche, statt auf den üblichen Zyklus zu warten. Am 13. Oktober 2026 veröffentlichte Microsoft das größte Sicherheitsupdate seiner Geschichte und behob mehr als 1.400 Sicherheitslücken, darunter eine, die Angreifer bereits ausnutzen (CVE-2026-96951), bewertet mit 8,8 von 10. Sie bringt Windows dazu, eine Datei, die aus dem Internet oder per E-Mail kam, so zu behandeln, als hätte Ihr Mitarbeiter sie selbst erstellt, sodass die Warnung, die normalerweise vor dem Öffnen erscheint, nie angezeigt wird. Das Nationale Zentrum für Cybersicherheit Saudi-Arabiens (Saudi CERT) gab noch am selben Tag eine kritische Warnung heraus und empfahl, die betroffenen Produkte zu aktualisieren. Es gibt nur eine Lösung: das Oktober-Update installieren, unter Windows 11 (24H2, 25H2 und 26H2) ist das KB5127648.

Was hat sich diesen Monat geändert?

Microsoft liefert seine Sicherheitsupdates am zweiten Dienstag jedes Monats aus, bekannt als Patch Tuesday. Die Oktober-Ausgabe unterscheidet sich im Umfang: Die Zero Day Initiative zählte 1.415 neue CVEs, die erste vierstellige Monatssumme, die sie je gesehen hat, und mehr als Microsofts gesamte Ausgabe für 2023 mit 914. Die Zählungen weichen zwischen den Beobachtern leicht ab: Tenable zählte 1.407, davon 69 als kritisch eingestuft. Der Grund ist laut Zero Day Initiative, dass KI-Werkzeuge Schwachstellen heute schneller finden als zuvor, sowohl auf der Verteidiger- als auch auf der Angreiferseite.

Die Zahl ist weniger wichtig als die eine Lücke, die gerade jetzt ausgenutzt wird. Bei den anderen dauert es, bis jemand sie als Waffe einsetzt; diese war schon im Einsatz, bevor die Korrektur erschien.

Wie ernst ist die ausgenutzte Lücke für ein kleines oder mittleres Unternehmen?

Wenn ein Mitarbeiter eine Datei herunterlädt oder einen E-Mail-Anhang öffnet, versieht Windows sie mit einer Markierung namens Mark of the Web, die besagt, dass sie von außen kommt. Diese Markierung ist der Grund, warum Office die Datei in der Geschützten Ansicht öffnet und warum Windows warnt, bevor ein heruntergeladenes Programm ausgeführt wird. CVE-2026-96951 lässt eine präparierte Datei diese Markierung verlieren, sodass Windows sie als lokal behandelt und sie sich ohne jede Warnung öffnet.

Laut Tenable beruht die Ausnutzung auf Social Engineering: eine E-Mail oder Nachricht, die den Mitarbeiter dazu bringt, die Datei zu öffnen. Das übliche Szenario in unserem Markt passt genau: Eine "Rechnung" oder ein "Angebot" landet beim Buchhalter, der sie öffnet, ohne dass ihn ein Hinweis stoppt. Tenable merkt an, dass dies die dritte in freier Wildbahn ausgenutzte Windows-Shell-Lücke im Jahr 2026 ist, nach denen im Februar und April.

Die US-Behörde für Cyber- und Infrastruktursicherheit (CISA) nahm sie am 13. Oktober in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities) auf und gab US-Bundesbehörden bis zum 16. Oktober 2026 Zeit, sie zu beheben: drei Tage. Diese kurze Frist zeigt, wie ernst sie genommen wird.

Welche Rechner sind betroffen, und wie lautet die Update-Nummer für jeden?

Laut dem Eintrag zur Lücke im Security Update Guide von Microsoft ist die Korrektur für jede unterstützte Windows-Version verfügbar:

  • Windows 11 Versionen 24H2, 25H2 und 26H2: KB5127648.
  • Windows 11 Version 23H2: KB5126653.
  • Windows Server 2025: KB5126646; Windows Server 2022: KB5126655; Windows Server 2019: KB5126651.
  • Windows Server 2016: KB5126868; Windows Server 2012 R2: KB5126836.

Ein Rechner, dem das Update nicht angeboten wird, ist meist aus dem Support gefallen. PCs mit Windows 11 24H2 Pro erreichten am 13. Oktober das Supportende, worüber wir in Supportende von Windows 11 24H2 berichtet haben. Wenn Sie noch Rechner mit Windows 10 haben, lesen Sie die Frist zum Supportende von Windows 10 für Unternehmen.

Was diese Woche zu tun ist: fünf Schritte

  1. Installieren Sie das Update heute: Einstellungen, dann Windows Update, dann neu starten. Das Update ist erst abgeschlossen, wenn der Rechner neu startet.
  2. Beginnen Sie mit den am stärksten exponierten Rechnern: Buchhaltung, Einkauf und Kundenservice, die PCs, die täglich externe Anhänge erhalten.
  3. Vergessen Sie die Server nicht: Die Zero Day Initiative weist in der Ausgabe auf 59 wurmfähige (wormable) Lücken hin, die weder Anmeldung noch Benutzeraktion erfordern, in Komponenten wie DHCP Server und Remote Desktop Gateway. Dieselbe Ausgabe behebt kritische Lücken in Outlook, Excel, Exchange, SharePoint und SQL Server.
  4. Prüfen Sie, ob jeder Rechner es tatsächlich installiert hat: Geben Sie sich nicht mit "Updates laufen automatisch" zufrieden. Bitten Sie Ihren IT-Verantwortlichen um eine Liste der Rechner, auf denen das Update nicht abgeschlossen ist.
  5. Warnen Sie Ihre Mitarbeiter: Eine kurze Nachricht genügt: Öffnen Sie keinen Anhang, den Sie nicht erwartet haben, auch wenn keine Warnung erscheint, und rufen Sie den Absender zur Bestätigung an.

Reichen automatische Updates aus?

Selten. Viele Unternehmen haben PCs, die seit Wochen nicht neu gestartet wurden, Rechner, auf denen Updates pausiert wurden, weil ein altes Programm einmal nicht mehr lief, und Server, die niemand aktualisiert, weil sie "laufen". Deshalb fordert die Warnung von Saudi CERT die Organisationen auf, die betroffenen Produkte zu aktualisieren, und nicht nur, Updates einzuschalten. Bei einer Ausgabe mit über 1.400 Korrekturen wird ein Rechner, der einen Monat im Rückstand ist, zu einer offenen Tür in Ihr gesamtes Netzwerk.

Die Sicht von Origami

Diese Ausgabe signalisiert einen dauerhaften Wandel: KI beschleunigt das Auffinden von Schwachstellen, daher werden die monatlichen Updates weiter wachsen und die Zeit zwischen Veröffentlichung und Ausnutzung wird weiter schrumpfen. Ein Unternehmen, das Patches einspielt, "wenn jemand daran denkt", wird immer hinterherhinken. Besser ist ein fester Zeitplan: kritische Updates innerhalb von 72 Stunden, der Rest innerhalb von zwei Wochen und ein monatlicher Bericht, der belegt, dass jeder PC und jeder Server auf dem neuesten Stand ist. Bei Origami bauen wir Systeme und Server für unsere Kunden vom ersten Tag an mit dieser Nachverfolgung. Wenn Sie die PCs oder Server Ihres Unternehmens prüfen lassen möchten, nehmen Sie Kontakt auf.

Quellen