Am 13. Oktober 2026 hat Microsoft seinen monatlichen Patchday veröffentlicht – und der fällt größer aus als je zuvor. Fachanalysen etwa von CrowdStrike zählen über 1.400 behobene Schwachstellen, davon 75 als kritisch eingestuft. Ein großer Teil betrifft Windows selbst. Für den Mittelstand ist aber nicht die Rekordzahl entscheidend, sondern die Frage, welche Updates zuerst eingespielt werden müssen. Drei Punkte stechen heraus.
Erstens: Eine Lücke wird bereits aktiv ausgenutzt. CVE-2026-96951 in der Windows-Shell erlaubt es Angreifern, den sogenannten Mark of the Web zu umgehen – also die Kennzeichnung, mit der Windows aus dem Internet geladene Dateien als potenziell gefährlich markiert und Warnhinweise oder die geschützte Ansicht in Office auslöst. Fällt diese Schutzschicht weg, wird ein präparierter Download oder E-Mail-Anhang deutlich gefährlicher. Microsoft bestätigt die Ausnutzung in freier Wildbahn. Die Windows-Updates dieses Monats gehören deshalb ohne Verzögerung auf alle Clients und Server.
Zweitens: Exchange Server. Die kritische Schwachstelle CVE-2026-70571 ermöglicht Codeausführung auf dem Server – ausgelöst durch eine speziell präparierte E-Mail, ohne Anmeldung und ohne dass jemand etwas anklicken muss. Microsoft stuft die Ausnutzung als „wahrscheinlicher“ ein. Betroffen sind laut Microsoft Exchange Server Subscription Edition sowie Exchange 2016 und 2019. Jeder lokale Exchange-Server, der E-Mails von außen annimmt, ist damit grundsätzlich erreichbar. Wer noch auf Exchange 2016 oder 2019 setzt, sollte daran denken, dass beide Versionen seit Oktober 2025 offiziell aus dem Support sind – dieser Patchday ist ein guter Anlass, den Umstieg auf Exchange SE oder Exchange Online nicht länger aufzuschieben.
Drittens: SharePoint Server Subscription Edition. Über CVE-2026-102866 kann sich ein Angreifer unter bestimmten Voraussetzungen mit einem manipulierten Token als ein anderer Benutzer anmelden. Die Hürden für einen Angriff sind laut Microsoft hoch, die Lücke ist aber als kritisch eingestuft. Gerade SharePoint-Server, die an Single Sign-on oder weitere interne Systeme angebunden sind, sollten zeitnah aktualisiert werden.
Für die Praxis empfehlen wir diese Reihenfolge: zuerst aus dem Internet erreichbare Exchange- und SharePoint-Server, dann alle Windows-Clients wegen der aktiv ausgenutzten Shell-Lücke, danach die übrigen Server im regulären Wartungsfenster. Vorher ein aktuelles Backup bzw. einen Snapshot anlegen und die Updates auf einem Testsystem prüfen, wo das möglich ist. Und ein Blick auf die Systeme, die gar keine Updates mehr bekommen: Mit demselben Patchday ist der Support für Office 2021 ausgelaufen, und das erste ESU-Jahr für Windows 10 ist zu Ende gegangen – wer nicht verlängert hat, erhält dort keine Sicherheitsupdates mehr. Diese Geräte bleiben bei künftigen Lücken ungeschützt.
Sie möchten wissen, ob Ihre Server schon auf dem aktuellen Stand sind, oder suchen Unterstützung beim Einspielen außerhalb der Geschäftszeiten? Sprechen Sie uns an – wir prüfen den Patch-Stand Ihrer Systeme und übernehmen die Updates auf Wunsch im Rahmen unserer Betreuung.