Windows Patchday: Über 1400 Sicherheitslücken in Windows und Office

Microsoft hat zum Oktober-Patchday 2026 Sicherheitsupdates für über 1.400 Schwachstellen veröffentlicht. Betroffen sind neben Windows auch Office und weitere Microsoft-Produkte wie der Exchange Server. Besonders dringend ist eine Lücke in der Windows Shell: Microsoft bestätigt, dass Angreifer sie bereits vor Veröffentlichung der Updates ausgenutzt haben.

Auch für Outlook gibt es ein wichtiges Sicherheitsupdate. Eine als kritisch eingestufte Schwachstelle kann die Ausführung von Schadcode ermöglichen. Das kann laut Microsoft unter Umständen bereits beim Anzeigen einer präparierten E-Mail im Lesebereich passieren, ohne dass Anhänge geöffnet werden müssen.

Windows-Shell-Lücke wird bereits ausgenutzt

Die Sicherheitslücke CVE-2026-96951 betrifft die Windows Shell, unter anderem in Windows 10 und Windows 11. Microsoft stuft sie als „Important“ ein; der CVSS-Schweregrad liegt mit 8,8 von 10 Punkten im hohen Bereich.

Über die Schwachstelle lassen sich Schutzmechanismen von „Mark of the Web“ umgehen. Diese Kennzeichnung dient dazu, aus dem Internet stammende Dateien als solche zu erkennen und entsprechende Schutzmaßnahmen auszulösen.

Als mögliches Angriffsszenario nennt Microsoft speziell präparierte Dateien, die etwa per E-Mail oder Messenger verbreitet werden. Für einen erfolgreichen Angriff muss der Nutzer zu einer Handlung verleitet werden. Die Lücke wird nach Angaben des Herstellers bereits aktiv ausgenutzt: Die angebotenen Sicherheitsupdates sollten daher zeitnah installiert werden.

Kritische Outlook-Lücke: Schon die E-Mail-Vorschau kann genügen

Besonders relevant für Office-Nutzer ist CVE-2026-88156. Die Schwachstelle betrifft Microsoft Office Outlook und wird mit einem CVSS-Wert von 9,8 als kritisch bewertet.

Laut Microsoft könnte ein Angreifer eine speziell präparierte E-Mail verschicken. Bereits die Anzeige im Outlook-Lesebereich kann die Schwachstelle auslösen und die Ausführung von Code auf dem betroffenen System ermöglichen. Ein zusätzliches Öffnen der Nachricht oder Anklicken eines darin enthaltenen Links ist dafür laut Hersteller nicht erforderlich.

Anders als bei der Windows-Shell-Lücke weist Microsoft bei dieser Outlook-Schwachstelle im geprüften Datenstand keine bereits beobachtete Ausnutzung aus.

Wichtig für Mac-Nutzer: Laut Microsofts CVE-Hinweis stehen die betreffenden Sicherheitsupdates für Office LTSC für Mac 2021 und 2024 noch nicht unmittelbar bereit. Microsoft will den Hinweis aktualisieren, sobald die Updates verfügbar sind. Betroffene sollten deshalb die verlinkte CVE-Seite auf neue Angaben prüfen.

Windows und Office aktualisieren

Nutzer sollten prüfen, ob die für ihre installierten Produkte angebotenen Sicherheitsupdates bereits eingespielt wurden. Auch ein eventuell erforderlicher Neustart sollte abgeschlossen werden.

• Windows 11: In den Einstellungen „Windows Update“ öffnen und nach Updates suchen.
• Windows 10: Unter „Einstellungen“ → „Update und Sicherheit“ → „Windows Update“ nach verfügbaren Updates suchen. Ob Sicherheitsupdates angeboten werden, hängt von der verwendeten Edition und dem jeweiligen Support- beziehungsweise ESU-Status ab.
• Office unter Windows: Beispielsweise Word öffnen und unter „Datei“ → „Konto“ → „Updateoptionen“ auf „Jetzt aktualisieren“ klicken.
• Bei zentral verwalteten Firmenrechnern: Die Installation mit der zuständigen IT abstimmen. Office-Updateoptionen können durch die Administration vorgegeben sein.

Eine aktuelle Windows-Installation allein ersetzt die Prüfung der Office-Updates nicht. Microsoft beschreibt die verfügbaren Verfahren in seiner Anleitung zum Aktualisieren von Microsoft 365 und Office.

Die meisten Sicherheitslücken betreffen Windows

Laut Microsofts Veröffentlichungshinweisen zum Oktober-Patchday entfallen 1.102 der behobenen Schwachstellen auf Windows. Weitere 134 betreffen die Office-Produktfamilie. Hinzu kommen unter anderem Sicherheitslücken in Entwicklerwerkzeugen, SQL Server, Exchange Server und SharePoint Server.

Die Gesamtzahl bedeutet allerdings nicht, dass jeder Windows-PC von sämtlichen Schwachstellen betroffen ist. Welche Updates benötigt werden, hängt von den installierten Produkten und Versionen ab.

Letztes Sicherheitsupdate für Windows 11 24H2 Home und Pro

Für Windows 11 in der Version 24H2 ist das Oktober-Update zugleich das letzte reguläre Sicherheitsupdate für die Editionen Home und Pro. Microsoft bestätigt das Supportende zum 13. Oktober 2026 im Windows Message Center. Diese Editionen erhalten anschließend keine regulären monatlichen Sicherheitsupdates mehr.

Um weiterhin Sicherheitsupdates zu erhalten, müssen betroffene Nutzer auf eine unterstützte Windows-11-Version wechseln, beispielsweise 25H2 oder die inzwischen allgemein verfügbare Version 26H2. Nach angebotenen Funktionsupdates lässt sich unter „Einstellungen“ → „Windows Update“ suchen.

Welche Version und Edition installiert sind, steht unter „Einstellungen“ → „System“ → „Info“ im Abschnitt „Windows-Spezifikationen“. Wichtig ist die Unterscheidung zwischen der Version, etwa 24H2, und der Edition, etwa Home oder Pro: Für andere Editionen gelten eigene Supportfristen.

Die vollständigen Angaben sowie Hinweise zu bekannten Problemen stellt Microsoft im Microsoft Security Update Guide bereit.

Quellen und weitere Informationen

• Microsoft: Veröffentlichungshinweise zum Oktober-Patchday 2026
• Microsoft: Bereits ausgenutzte Windows-Shell-Lücke CVE-2026-96951
• Microsoft: Kritische Outlook-Lücke CVE-2026-88156