Microsoft Patchday Oktober 2026: was drin ist, bekannte Probleme, was KMU tun sollten

Die kurze Antwort: Am Patchday vom 13. Oktober 2026 schließt Microsoft nach den Daten des Security Update Guide 1.417 Sicherheitslücken in eigener Zuständigkeit, deutlich mehr als im September mit 976. Eine Lücke wird bereits aktiv ausgenutzt: CVE-2026-96951 in der Windows-Shell hebelt das „Mark of the Web“ aus, die Markierung, mit der Windows Dateien aus dem Internet kennzeichnet. Zwei weitere Lücken waren vorab öffentlich bekannt, darunter eine im .NET Framework. Kritisch sind vor allem fünf Outlook-Lücken, bei denen schon die Vorschau einer E-Mail genügt, sowie Lücken im DHCP-Server, in Active Directory und im Remotedesktop-Gateway. Für Windows 11 24H2, 25H2 und 26H2 heißt das Update KB5127648, für Windows 10 22H2 mit ESU KB5126657, für Windows Server 2025 KB5126646. Neue Probleme der Oktober-Updates hat Microsoft bisher nicht gemeldet, mehrere Fehler aus dem September sind jetzt behoben. Wer Microsofts Sicherheitsbaselines für Windows 11 nutzt, sollte einen Punkt kennen: Mit dem Oktober-Update schalten sie den Administratorschutz ein, und dann können sich Nutzer ohne Adminrechte per Remotedesktop nicht mehr mit solchen Geräten verbinden. Stand: 14. Oktober 2026.

Zahlen des Monats

Stand: 14.10.2026.

Die Zahlen stammen aus der maschinenlesbaren Fassung des Security Update Guide (CVRF), Stand 14. Oktober 2026. Seit dem Patchday hat Microsoft einen Eintrag ergänzt, 342 Einträge waren schon vor dem Patchday veröffentlicht. Von den 343 Einträgen außerhalb der Zuständigkeit von Microsoft betreffen 341 Pakete der Linux-Distribution Azure Linux, vor allem den Linux-Kernel und den Webserver Apache. Von den 174 kritischen Einträgen liegen 76 in Microsofts eigener Zuständigkeit, 97 betreffen Azure-Linux-Pakete. Für den Browser Edge führt Microsoft in diesem Monat keine Einträge. Microsofts Release Notes nennen 1.413 Lücken, ihre Tabelle 1.414; die Zählungen weichen leicht voneinander und von den CVRF-Daten ab. Nach den Release Notes entfallen 1.102 Lücken auf Windows, 134 auf Office, 61 auf Entwicklerwerkzeuge, 36 auf SharePoint Server, 22 auf SQL Server, 15 auf Azure-Dienste, 7 auf Exchange Server und 4 auf Defender.

Die wichtigsten Lücken in Klartext

Der Zero-Day: Schutz vor Internetdateien ausgehebelt. CVE-2026-96951 steckt in der Windows-Shell und trägt den Schweregrad „wichtig“ mit einem CVSS-Wert von 8,8. Laut Microsoft kann ein Angreifer damit das „Mark of the Web“ umgehen, also die Markierung, mit der Windows Dateien aus dem Internet und aus E-Mail-Anhängen als nicht vertrauenswürdig kennzeichnet. Als Angriffsweg nennt Microsoft eine präparierte Datei per E-Mail oder Sofortnachricht; der Angreifer muss den Empfänger dazu bringen, einen Link anzuklicken oder einen Anhang zu öffnen. Betroffen sind laut Microsoft Windows 10 in den Versionen 1607, 1809, 21H2 und 22H2, Windows 11 in den Versionen 23H2, 24H2, 25H2, 26H1 und 26H2 sowie Windows Server 2012 R2, 2016, 2019, 2022 und 2025, außerdem führt Microsoft Outlook.com in der Liste. Wie die Lücke ausgenutzt wurde, hat Microsoft nicht veröffentlicht.

Vorab öffentlich bekannt. CVE-2026-108398 im .NET Framework (CVSS 8,8, wichtig) erlaubt einem angemeldeten Angreifer laut Microsoft, die Anwendungssteuerung Windows Defender Application Control (WDAC) zu umgehen: Er legt eine präparierte .NET-Assembly auf dem System ab, registriert sie zum Laden durch einen geschützten Prozess und kann so Code in diesem Prozess ausführen. Betroffen ist das .NET Framework auf allen unterstützten Windows- und Windows-Server-Versionen; Microsoft hält eine Ausnutzung für weniger wahrscheinlich. Die zweite vorab bekannte Lücke, CVE-2026-92707, betrifft die Bibliothek MessagePack für C# in Visual Studio und in .NET (Denial of Service, mittlerer Schweregrad) und spielt für Unternehmen vor allem dann eine Rolle, wenn sie selbst Software entwickeln.

Outlook: die Vorschau reicht. Fünf kritische Lücken in Outlook erreichen jeweils CVSS 9,8: CVE-2026-70242, CVE-2026-70291, CVE-2026-88156, CVE-2026-97016 und CVE-2026-97749. Laut Microsoft genügt es, eine präparierte E-Mail im Lesebereich von Outlook anzusehen; der Empfänger muss sie weder öffnen noch etwas darin anklicken. Betroffen sind die Microsoft 365 Apps for Enterprise sowie Office LTSC 2021 und 2024, bei zwei der Lücken auch Office für Mac. Dazu kommen kritische Lücken in Excel (elf), PowerPoint (vier), Visio (drei) und Word (zwei). Bei CVE-2026-88178 in PowerPoint und CVE-2026-70269 in Word nennt Microsoft das Vorschaufenster als Angriffsweg, bei der Excel-Lücke CVE-2026-105718 muss das Opfer die Datei öffnen. Für Office LTSC für Mac 2021 und 2024 standen die Updates laut Microsoft am Patchday noch nicht bereit und werden nachgereicht. Für Office 2021 und Office LTSC 2021 ist es das letzte Update, ihr Support ist am 13. Oktober 2026 ausgelaufen.

Server-Dienste, die in vielen Firmennetzen laufen. CVE-2026-96934 im Windows-DHCP-Server erreicht CVSS 9,8: Ein nicht angemeldeter Angreifer könnte mit einem präparierten Netzwerkpaket Code auf dem Server ausführen, ohne dass jemand etwas tun muss. Vier weitere kritische Lücken im DHCP-Server (jeweils CVSS 8,1) setzen zusätzlich voraus, dass der Angreifer einen zeitlichen Wettlauf gewinnt. CVE-2026-70229 in den Active Directory Domain Services, also dem Dienst auf den Domänencontrollern, stuft Microsoft als „Ausnutzung wahrscheinlicher“ ein; auch hier reicht ein präpariertes Paket ohne Anmeldung, allerdings nur unter bestimmten Netzwerk- und Zeitbedingungen. CVE-2026-70187 betrifft das Remotedesktop-Gateway auf Windows Server 2012 bis 2025 und erlaubt ebenfalls Codeausführung ohne Anmeldung. In Hyper-V kann bei CVE-2026-102214 Code in einer virtuellen Maschine den Host angreifen, bei CVE-2026-105733 eine verschachtelte virtuelle Maschine ihren Gastgeber. Weitere kritische Lücken mit CVSS 9,8 betreffen den PostScript-Druckertreiber (CVE-2026-70147 über einen präparierten Druckauftrag, CVE-2026-70153 über ein präpariertes Netzwerkpaket an den Druckdienst), Message Queuing (CVE-2026-100202, nur wo der Dienst aktiviert ist), das Netzwerkprotokoll QUIC unter Windows 11 ab 23H2 sowie Windows Server 2022 und 2025 (CVE-2026-100219 und CVE-2026-105016, letztere auch in .NET und Visual Studio) und die Textdarstellung Windows Text Shaping (CVE-2026-97814). Wer einen Domänencontroller, einen DHCP-Server, ein Remotedesktop-Gateway, einen Hyper-V-Host oder einen Druckserver betreibt, plant den Neustart für diese Systeme zuerst.

Exchange und SharePoint. Für Exchange Server gibt es sieben Lücken. Kritisch ist CVE-2026-70571 (CVSS 8,1): Ein nicht angemeldeter Angreifer könnte eine präparierte E-Mail an den Server schicken und über die interne Umwandlung von Inhalten Code ausführen. Microsoft hält eine Ausnutzung für wahrscheinlicher, sie verlangt aber genaue Kenntnis der Umgebung. Als wichtig, aber mit CVSS 9,3 eingestuft ist die Spoofing-Lücke CVE-2026-70279. Die Updates heißen KB5128895 für Exchange Server Subscription Edition, KB5128896 für Exchange Server 2019 CU15, KB5128897 für CU14 und KB5128898 für Exchange Server 2016 CU23. Exchange Server 2016 und 2019 haben das Ende ihres Supports erreicht; Microsoft verteilt Updates für sie nur noch an Organisationen im Programm für erweiterte Sicherheitsupdates, und das laut Microsoft nur bis Ende Oktober 2026. Wer noch Exchange 2016 oder 2019 betreibt, plant den Umstieg jetzt. Das Update für die Subscription Edition behebt außerdem den Fehler, dass veröffentlichte Kalender (ICS-Dateien) mit HTTP 500 antworteten. Microsoft empfiehlt nach der Installation den Exchange Server Health Checker. Exchange Online führt Microsoft bei diesen Lücken nicht als betroffen. Bei SharePoint Server betrifft die einzige kritische Lücke, CVE-2026-102866 (CVSS 8,1), die Subscription Edition: Wer an ein gültiges Anmeldetoken eines Nutzers gelangt, könnte es verändern und sich als dieser Nutzer anmelden.

SQL Server und Cloud-Dienste. Für SQL Server 2017 bis 2025 gibt es Updates zu 22 Lücken, keine davon ist kritisch. Kleine Unternehmen haben SQL Server oft als Unterbau von Warenwirtschaft, Buchhaltung oder Zeiterfassung im Haus; ob das Update für die Fachanwendung freigegeben ist, weiß der Hersteller. Mehrere kritische Einträge betreffen Cloud-Dienste wie Microsoft Bookings (CVE-2026-94510, CVSS 9,9). Diese Lücken hat Microsoft nach eigenen Angaben bereits vollständig behoben, Nutzer müssen nichts tun.

Bekannte Probleme

Stand 14. Oktober 2026 hat Microsoft für die Oktober-Updates keine neuen Probleme gemeldet. Ein Problem aus dem September betrifft aber auch das neue Update, und mehrere ältere Fehler sind jetzt behoben. Diesen Abschnitt aktualisieren wir am Montag, 19. Oktober 2026.

Remotedesktop scheitert mit Fehler 0xC000000D. Nach dem optionalen Vorschau-Update KB5124010 vom 22. September und späteren Updates können sich Nutzer ohne Adminrechte laut Microsoft nicht mehr per Remotedesktop mit Geräten unter Windows 11 24H2, 25H2, 26H1 oder 26H2 verbinden, auf denen der Administratorschutz eingeschaltet ist. Die Verbindung bricht mit dem Fehler 0xC000000D und der Meldung „The token that was passed to the function is invalid“ ab. Betroffen sind vor allem verwaltete Firmengeräte, die als Remotedesktop-Host dienen. Wichtig: Wer Microsofts Sicherheitsbaselines für Windows 11 einsetzt, bekommt den Administratorschutz mit dem Oktober-Update standardmäßig eingeschaltet, laut Microsoft in den Baselines für die Versionen 24H2, 25H2 und 26H2. Als Umgehung nennt Microsoft, den Administratorschutz auf den betroffenen Geräten vorübergehend abzuschalten, indem man in Intune oder per Gruppenrichtlinie die Richtlinie „User Account Control: Configure type of Admin Approval Mode“ zurücksetzt. Status: entschärft, Microsoft arbeitet an einer Lösung.

USB-Audiogeräte ohne Ton. Das Problem aus dem September betrifft Geräte der Klasse USB Audio Class 1.0. Für Windows Server 2022 hat Microsoft es mit dem Oktober-Update KB5126655 vollständig behoben; für Windows 11, Windows 10 22H2 sowie Windows Server 2012 R2, 2016, 2019 und 2025 führt Microsoft es weiter als entschärft, der Ausfall im Mehrkanal-Betrieb ist seit dem Notfall-Update vom 14. September behoben. Administratoren, die sofort eine Umgehung für die übrigen Symptome brauchen, verweist Microsoft an den Microsoft Support for Business.

Behoben mit dem Oktober-Update. Zwei Fehler, die im September nur Fachmedien gemeldet hatten, behebt Microsoft jetzt ausdrücklich: In Umgebungen mit mehreren Nutzern wie Azure Virtual Desktop und FSLogix startete Explorer.exe nach der Anmeldung nicht oder stürzte ab, der Bildschirm blieb schwarz. Und Always On VPN blieb nach KB5124008 beim Verbinden hängen oder verband sich nach einem gescheiterten ersten Versuch nicht mehr, wenn die automatische Protokollauswahl oder ein Ausweichprotokoll eingerichtet war. Behoben sind auch die Abstürze von Anwendungen mit AC-3-Audio. Die falsche Meldung „Microsoft Defender Antivirus ist deaktiviert“ hat Microsoft am 30. September als behoben markiert, und den Verlust der Vertrauensstellung zur Domäne bei Geräten mit Credential Guard hat bereits das Vorschau-Update KB5124010 korrigiert, dessen Korrekturen im Oktober-Update enthalten sind.

Ein zusätzlicher Neustart ist normal. Laut Microsoft kann ein Teil der Geräte bei der Installation dieses und der kommenden Updates einmal zusätzlich neu starten, weil dabei neue Secure-Boot-Zertifikate eingespielt werden.

Weitere Fehlerberichte aus Foren und Blogs nehmen wir erst auf, wenn Microsoft sie bestätigt oder mindestens zwei Fachmedien übereinstimmend darüber berichten. Release Health kann sich in den Tagen nach dem Patchday ändern; wir aktualisieren diesen Abschnitt.

Was KMU jetzt tun sollten

1. Reihenfolge festlegen. Zuerst die Server mit Angriffsfläche im Netz: Domänencontroller, DHCP-Server, Remotedesktop-Gateways, Hyper-V-Hosts, Druckserver und Exchange. Dann alle Clients wegen der ausgenutzten Lücke in der Windows-Shell und der Outlook-Lücken.
2. Testgruppe zuerst. Zwei bis drei repräsentative Geräte und ein unkritischer Server erhalten das Update sofort, der Rest ein bis zwei Arbeitstage später. So fällt ein Problem mit einer Fachanwendung auf, bevor es alle trifft. Länger als eine Woche sollte der Abstand bei einer aktiv ausgenutzten Lücke nicht sein.
3. Administratorschutz prüfen. Wer Windows 11 über Microsofts Sicherheitsbaselines verwaltet, testet in der Testgruppe gezielt den Remotedesktop-Zugang für Nutzer ohne Adminrechte. Scheitert er mit Fehler 0xC000000D, hilft vorerst die oben beschriebene Umgehung.
4. Backup vor dem Server-Neustart prüfen. Nicht nur, ob die Sicherung gelaufen ist, sondern ob sich ein Server daraus wiederherstellen ließe. Bei Exchange zusätzlich den Health Checker nach dem Update laufen lassen.
5. Neustarts planen. Die Oktober-Updates verlangen einen Neustart, manche Geräte starten wegen der Secure-Boot-Zertifikate einmal zusätzlich neu. Für Server einen Termin außerhalb der Arbeitszeit ansetzen und die Mitarbeitenden bitten, Notebooks über Nacht angeschaltet und am Netz zu lassen.
6. Office-Stand kontrollieren. Die Microsoft 365 Apps aktualisieren sich über Klick-und-Los; prüfen Sie unter „Datei > Konto“, ob der aktuelle Stand angekommen ist. Wegen der Lücken im Lesebereich von Outlook hilft der Ratschlag „nichts anklicken“ diesmal nicht. Wer noch Office 2021 oder Office LTSC 2021 einsetzt, bekommt nach diesem Update keine Sicherheitsupdates mehr und plant den Umstieg.
7. Auslaufende Versionen ersetzen. Windows 11 24H2 in den Editionen Home und Pro hat mit diesem Update sein letztes Update erhalten; diese Geräte gehören auf Version 25H2 oder 26H2. Für Windows 10 endet für Unternehmen das erste Jahr der erweiterten Sicherheitsupdates (ESU): Ohne Verlängerung auf das zweite Jahr kommen ab November keine Updates mehr. Windows Server 2012 und 2012 R2 haben mit KB5126835 und KB5126836 die letzten Sicherheitsupdates aus dem ESU-Programm bekommen, danach gibt es keine mehr.
8. Externe ReFS-Laufwerke aufspüren. Ab dem Oktober-Update protokolliert Windows, wenn ein Laufwerk mit dem Dateisystem ReFS von einem Wechseldatenträger wie einer USB-Festplatte eingebunden wird; ab dem Update im Januar 2027 blockiert Windows solche Laufwerke standardmäßig. Wer externe Sicherungsplatten mit ReFS formatiert hat, stellt sie jetzt um.
9. Patchstand nachweisen. Nach dem Rollout sollte eine Liste zeigen, welches Gerät welchen Build hat und wo der Neustart noch aussteht. Genau dafür ist Monitoring und Patchmanagement da: Updates werden gesteuert verteilt, Ausreißer sichtbar, und der Patchstand ist für Cyberversicherung und Audit belegt.

Nächster Patchday: 10. November 2026

Der nächste Patchday ist Dienstag, der 10. November 2026. Die Updates erscheinen in der Regel um 10 Uhr Pazifikzeit, an diesem Tag also um 19 Uhr deutscher Zeit. Am selben Tag endet der Support für Windows 11 Version 23H2 in den Editionen Enterprise und Education. Alle Termine mit Erinnerung finden Sie in unserem Kalender der Microsoft-Support-Enden, alle Patchday-Termine 2026/2027 als Tabelle und ICS-Datei auf der Patchday-Seite.

Häufige Fragen

Gibt es Probleme mit dem Windows-Update Oktober 2026?

Neue Probleme der Oktober-Updates hat Microsoft bis zum 14. Oktober nicht gemeldet. Bekannt ist ein Fehler, der seit dem Vorschau-Update vom 22. September besteht und auch das Oktober-Update betrifft: Nutzer ohne Adminrechte können sich per Remotedesktop nicht mit Geräten verbinden, auf denen der Administratorschutz aktiv ist, Fehler 0xC000000D. Weiter entschärft, aber nicht überall vollständig behoben ist das Problem mit USB-Audiogeräten aus dem September. Behoben sind dagegen der schwarze Bildschirm nach der Anmeldung in virtuellen Desktops, der Fehler bei Always On VPN und Abstürze von Anwendungen mit AC-3-Audio.

Welche KB-Nummer gilt für mein System?

Windows 11 Version 26H2, 25H2 und 24H2: KB5127648 (Builds 26300.9711, 26200.9711 und 26100.9711). Windows 11 Version 26H1: KB5127646 (Build 28000.3231). Windows 11 Version 23H2: KB5126653 (Build 22631.7652 laut Microsofts Release-Informationen, der KB-Artikel nennt 22621.7652). Windows 10 Version 22H2 und 21H2: KB5126657 (Builds 19045.7807 und 19044.7807), für Windows 10 22H2 in Home, Pro, Enterprise und Education nur mit ESU. Windows Server 2025: KB5126646 (Build 26100.33650). Windows Server 2022: KB5126655 (Build 20348.5761). Windows Server 2019 und Windows 10 Version 1809: KB5126651 (Build 17763.9376). Windows Server 2016 und Windows 10 Version 1607: KB5126868 (Build 14393.9612). Windows Server 2012 R2: KB5126836. Windows Server 2012: KB5126835. Die Build-Nummer sehen Sie unter „Einstellungen > System > Info“ oder mit dem Befehl winver.

Muss ich sofort installieren oder reicht die Testgruppe?

Beides. Die ausgenutzte Lücke in der Windows-Shell setzt voraus, dass jemand eine präparierte Datei öffnet oder einen Link anklickt; sie verbreitet sich nicht von allein im Netz. Eine Testgruppe von ein bis zwei Arbeitstagen ist deshalb vertretbar, ein Aufschub von Wochen nicht. Server mit Angriffsfläche im Netz wie Domänencontroller, DHCP-Server, Remotedesktop-Gateways und Exchange gehören in die erste Welle.

Remotedesktop meldet den Fehler 0xC000000D. Was hilft?

Der Fehler tritt laut Microsoft auf, wenn sich ein Nutzer ohne Adminrechte mit einem Gerät verbindet, auf dem der Administratorschutz eingeschaltet ist. Microsofts Sicherheitsbaselines für Windows 11 schalten diesen Schutz mit dem Oktober-Update ein. Als Umgehung empfiehlt Microsoft, den Administratorschutz auf den betroffenen Geräten vorübergehend abzuschalten: in Intune oder per Gruppenrichtlinie die Richtlinie „User Account Control: Configure type of Admin Approval Mode“ zurücksetzen. Eine endgültige Lösung hat Microsoft angekündigt.

Wir nutzen noch Windows 11 Version 24H2 Home oder Pro. Was jetzt?

Für Windows 11 Version 24H2 in den Editionen Home und Pro war das Oktober-Update das letzte. Microsoft empfiehlt das Update auf Version 25H2 oder 26H2, damit die Geräte weiter monatliche Sicherheitsupdates erhalten. Die Editionen Enterprise und Education der Version 24H2 werden noch bis 12. Oktober 2027 versorgt. Am besten steuern Sie das Versions-Update per Intune, damit es nicht mitten im Arbeitstag startet.

So unterstützt Sie die High5Manufaktur GmbH

Die High5Manufaktur GmbH betreut kleine und mittlere Unternehmen im Raum Karlsruhe und bundesweit. Wir verteilen Windows- und Office-Updates gesteuert über Intune und unser Patchmanagement, halten Server-Neustarts außerhalb der Arbeitszeit, prüfen vorher die Sicherung und liefern Ihnen den Patchstand als Nachweis. Einstellungen wie den Administratorschutz testen wir vorher, damit der Remotedesktop-Zugang Ihres Teams nicht plötzlich ausfällt. Als Cloud Solution Provider (CSP) kümmern wir uns auch um Lizenzfragen wie ESU für Windows 10. Im kostenlosen Erstgespräch klären wir, wo Ihre Umgebung nach diesem Patchday steht.

Quellen

• Microsoft Security Response Center: October 2026 Security Updates (Release Notes), Stand 14.10.2026
• Microsoft Security Response Center: CVRF-Daten Oktober 2026 (maschinenlesbar), Stand 14.10.2026
• Microsoft Security Response Center: CVE-2026-96951, Windows Shell Security Feature Bypass Vulnerability
• Microsoft Support: October 13, 2026, KB5127648 (OS Builds 26300.9711, 26200.9711 and 26100.9711)
• Microsoft Support: October 13, 2026, KB5126657 (OS Builds 19045.7807 and 19044.7807)
• Microsoft Support: October 13, 2026, KB5126646 (OS Build 26100.33650)
• Microsoft Support: Description of the security update for Microsoft Exchange Server Subscription Edition RTM October 13, 2026 (KB5128895)
• Microsoft Support: Hardening changes for ReFS volumes on removable media
• Microsoft Learn: Windows message center, Stand 14.10.2026
• Microsoft Learn: Windows 11 - release information, Stand 14.10.2026
• Microsoft Learn: Windows 11, version 25H2 known issues and notifications, Stand 14.10.2026
• Microsoft Learn: Windows 11, version 24H2 known issues and notifications, Stand 14.10.2026
• Microsoft Learn: Windows Server 2025 known issues and notifications, Stand 14.10.2026
• Microsoft Learn: Windows Server 2022 known issues and notifications, Stand 14.10.2026
• Microsoft Learn: Windows 10, version 1809 and Windows Server 2019 known issues and notifications, Stand 14.10.2026
• Microsoft Learn: Windows 10, version 22H2 known issues and notifications, Stand 14.10.2026