Illustration Absmeier foto magnific ki
Der Patchday im Oktober 2026 bricht erneut alle Rekorde: Microsoft liefert erstmals Patches für eine vierstellige Zahl an Schwachstellen aus, während Adobe 174 Sicherheitslücken in elf Bulletins schließt.
Microsoft – Patches für Oktober 2026
Microsoft veröffentlicht im Oktober ein Rekordvolumen: 1.415 neue CVEs – erstmals eine vierstellige Zahl und damit mehr als in jedem bisherigen Gesamtjahr von Microsoft. Betroffen sind Windows und Windows-Komponenten, Office, Entwicklertools/.NET, SharePoint, der Linux-Kernel, Skype for Business/Lync, SQL Server, Dynamics, Azure-Dienste und Exchange Server. Parallel führt Microsoft testweise sogenannte »Risk Cohorts« zur Gruppierung von Schwachstellen ein.
Wichtigste Punkte:
- Nur eine Schwachstelle gilt als aktiv in the wild ausgenutzt: CVE-2026-96951 (Windows Shell).
- Zwei Schwachstellen sind öffentlich bekannt: CVE-2026-108398 (.NET Framework) und CVE-2026-92707 (MessagePack-CSharp, Drittanbieter-CVE).
- ZDI stuft 59 der Oktober-CVEs als »wormable» ein (keine Authentifizierung, keine Nutzerinteraktion erforderlich) – verteilt u. a. auf DHCP-Server, Network Policy Server, Windows Error Reporting und Remote Desktop Gateway.
Kritischste Microsoft-Schwachstellen:
- CVE-2026-96951 – Windows Shell Security Feature Bypass Vulnerability, CVSS 8.8 — ⚠️ Aktiv in the wild ausgenutzt. Umgeht Mark-of-the-Web-Schutzmechanismen; sollte umgehend getestet und ausgerollt werden.
- CVE-2026-102866 – Microsoft Office SharePoint Elevation of Privilege Vulnerability, CVSS 8.1 — einzige kritisch eingestufte und von einem nicht authentifizierten Angreifer ausnutzbare SharePoint-Schwachstelle des Monats; fehlerhafte Prüfung kryptografischer Signaturen erlaubt Identitätsübernahme bei Kenntnis eines gültigen Proof-Tokens.
- CVE-2026-65674 – Microsoft SQL Server Remote Code Execution Vulnerability, CVSS 8.8 — höchster CVSS-Wert unter den SQL-Server-Bugs des Monats; Deserialisierung nicht vertrauenswürdiger Daten ermöglicht authentifizierten Angreifern Codeausführung ohne Nutzerinteraktion. Priorität für direkt mit dem Internet verbundene SQL-Server.
- CVE-2026-70571 – Microsoft Exchange Server Remote Code Execution Vulnerability, CVSS 8.1 — technisch wormable, laut Microsoft jedoch nur mit tiefem Umgebungswissen und geringer Erfolgswahrscheinlichkeit ausnutzbar.
- CVE-2026-108398 – .NET Framework Security Feature Bypass Vulnerability, CVSS 8.8 — ⚠️ Öffentlich bekannt. Ermöglicht die Umgehung von Windows Defender Application Control (WDAC); bislang nicht als aktiv ausgenutzt gemeldet.
Adobe – Patches für Oktober 2026
Adobe veröffentlichte im Oktober 11 Bulletins mit insgesamt 174 CVEs für Produkte wie Adobe Experience Manager, ColdFusion, Commerce, Photoshop, FrameMaker, Substance 3D (Stager, Sampler, Designer), Dimension, Bridge und das Content Credentials SDK. Drei Bulletins erreichen dabei einen Höchstwert von CVSS 10.0.
Wichtigste Punkte:
Keine der Oktober-Schwachstellen bei Adobe gilt aktuell als öffentlich bekannt oder aktiv ausgenutzt.
Trotz offizieller Priorität 2 stuft ZDI den ColdFusion-Patch als dringendsten ein – das Schwachstellenprofil entspricht einem klassischen Pre-Auth-RCE-Muster auf einem internetseitig exponierten Serverprodukt.
Kritischste Adobe-Schwachstellen:
- APSB26-144 (Adobe ColdFusion) – 32 CVEs, CVSS 10.0, Kritisch, Priorität 2. Enthält u. a. Unrestricted File Upload, Code Injection, SSRF und fehlerhafte Autorisierung; Auswirkungen reichen von Codeausführung über Privilege Escalation bis zu Dateizugriff. Empfehlung: trotz Priorität 2 bevorzugt behandeln.
- APSB26-153 (Adobe Commerce) – 11 CVEs, CVSS 10.0, Kritisch, Priorität 2. Hochwertiges Ziel, folgt auf den im Vormonat aktiv ausgenutzten Commerce-Zero-Day; Template-Engine-Injection und fehlerhafte Autorisierung ermöglichen Codeausführung und Privilege Escalation.
- APSB26-152 (Adobe Experience Manager) – 33 CVEs, CVSS 10.0, Kritisch, Priorität 2. Breitester der drei Top-Patches; neben umfangreichem XSS-Volumen auch ernste serverseitige Bugs wie OS Command Injection, SQL Injection, XXE und Path Traversal.
Ausblick: Der nächste Patch Tuesday findet am 10. November 2026 statt.
Zum vollständigen Artikel: https://www.zerodayinitiative.com/blog/2026/10/13/the-october-2026-security-update-review
ZDI (Zero Day Initiative): Ein Programm von Trend Micro, das Sicherheitslücken von Forschern ankauft, prüft und koordiniert an Hersteller meldet. ZDI veröffentlicht zudem Analysen zu Schwachstellen und Sicherheitsupdates.
CVE (Common Vulnerabilities and Exposures): Ein standardisiertes Verzeichnis öffentlich bekannter Sicherheitslücken. Jede erfasste Schwachstelle erhält eine eindeutige Kennung, zum Beispiel CVE-2026-96951.
CVSS (Common Vulnerability Scoring System): Ein Bewertungssystem für den technischen Schweregrad einer Sicherheitslücke. Die Skala reicht von 0,0 bis 10,0; je höher der Wert, desto schwerwiegender die Schwachstelle. Der CVSS-Wert sagt jedoch nicht allein aus, wie dringend ein Unternehmen patchen sollte – auch Ausnutzbarkeit, betroffene Systeme und aktive Angriffe sind relevant.
Diese Zusammenfassung wurde mithilfe von KI automatisiert erstellt und anschließend geprüft.
1366 Artikel zu „Patch“
IT-Security | News | Tipps | Trends 2026 | Trends Security | Whitepaper
Sicherheitsupdate-Review September 2026: Rekord-Patchday mit fast 1.000 Microsoft-CVEs und Adobe-Zero-Days
Der Patchday im September 2026 bricht historische Rekorde: Microsoft liefert Patches für fast 1.000 Schwachstellen aus, während Adobe 172 Sicherheitslücken in zehn Bulletins schließt. Im Fokus der Administratoren stehen aktiv ausgenutzte Zero-Day-Lücken in Adobe Commerce und Windows sowie eine Flut kritischer, teils »wormable« Remote-Code-Execution-Schwachstellen. Microsoft – Patches für September 2026 Microsoft veröffentlichte 972 neue…
Ausgabe 3-4-2026 | Business Process Management | Digitalisierung | Künstliche Intelligenz | News | Security Spezial 3-4-2026
KI im Patch-Management – Weniger Ausfälle, mehr Stabilität
Patch-Management entscheidet heute mit über Stabilität, Sicherheit und Kundenvertrauen. KI-gestützte Automatisierung hilft Informationstechnologie-Teams, Schwachstellen gezielt zu priorisieren, problematische Updates früh zu erkennen und Wartung so zu planen, dass aus potenzieller Downtime planbare Uptime wird. Intelligente Priorisierung macht Updates sicherer und Wartung zum Business-Vorteil.
IT-Security | News | Services | Strategien | Tipps
Verzögertes Patching öffnet Cyberangriffen Tür und Tor
Warum Unternehmen ein automatisiertes und effizientes Patch-Management benötigen. Eine aktuelle Studie der Enterprise Strategy Group zum Endpoint- Management in Unternehmen zeigt: fast jedes fünfte Gerät in einem Unternehmen wird weder verwaltet noch gesichert. Zudem waren bereits mehr als die Hälfte der untersuchten Unternehmen (mindestens 54 %) Ziel eines Cyberangriffs über einen unbekannten, nicht verwalteten…
IT-Security | News | Strategien | Tipps
Cybersecurity: Warum 100 % Patches nicht das ultimative Ziel sind
Wenn es um Cybersicherheit geht, erscheint das Patchen von Schwachstellen oft wie der Heilige Gral. Wenn die CVEs (Common Vulnerabilities and Exposures, häufige Schwachstellen und Risiken in Computersystemen) gepatcht sind, ist man sicher, oder? Nun, nicht ganz. Leider ist Patchen nicht so einfach – oder so effektiv – wie Unternehmen glauben. Angesichts begrenzter Ressourcen, Geschäftsunterbrechungen…
Ausgabe 7-8-2024 | IT-Security | News | Security Spezial 7-8-2024
Robustes Patch-Management – Eckpfeiler der Cyberresilienz
Im Kampf gegen Ransomware ist es an der Zeit, zu den Grundlagen zurückzukehren. Effektives Patch-Management ist entscheidend, um die Cybersicherheit zu gewährleisten und die Betriebszeit von IT-Systemen zu maximieren.
IT-Security | Kommunikation | News | Trends 2024 | Trends Security
Cyber Threat Research: Unzureichende Patch-Praxis und unverschlüsselte Protokolle
Der erste Bericht aus den Cato Cyber Threat Research Labs (CTRL) analysiert 1,26 Billionen Netzwerkströme, um aktuelle Sicherheitsrisiken zu identifizieren. Der Bericht »Cato CTRL SASE Threat Reports»« für das erste Quartal 2024«zeigt, dass sämtliche der befragten Unternehmen weiterhin unsichere Protokolle in ihren Wide Access Networks (WAN) verwenden. Ein Sachverhalt, der es Cyberkriminellen erleichtert, sich…
IT-Security | News | Trends 2023 | Trends Security
Mehr als drei Viertel der ausgenutzten Schwachstellen sind altbekannt, bleiben aber ungepatcht
Angreifer profitieren von Lücken in Schwachstellendatenbanken, unklaren CVSS-Scores und alten Verwundbarkeiten. Eine neue Studie von Ivanti, Cyber Security Works (CSW), Cyware und Securin zeigt, dass Bedrohungen durch Ransomware im Jahr 2022 – entgegen optimistischen Einschätzungen – nichts an ihrer Schlagkraft verloren haben. Die Studie »2023 Spotlight Report: Ransomware aus dem Blickwinkel von Threat und…
News | Tipps
Patchen muss gar nicht nerven
Das Patchen von Software-Anwendungen ist eine verdammt undankbare Aufgabe. Läuft alles reibungslos, nimmt niemand Notiz davon, doch gibt es Probleme, ist der Ärger schnell groß. Updates, die Netzwerkverbindungen verstopfen oder Rechner von Mitarbeitern ausbremsen, sind dabei noch vergleichsweise harmlos, bedenkt man, welche Folgen ein Cyberangriff auf eine nicht gepatchte Schwachstelle haben kann. Leider ist es…
IT-Security | News | Tipps
Löchrige IT-Umgebungen: Die Patch-Lücke(n)
Wir alle sind uns der unbequemen Wahrheit bewusst, dass IT-Umgebungen löchrig sind und folglich von einem ausreichend ambitionierten Angreifer kompromittiert werden können. Dies gilt so gut wie unabhängig von der jeweiligen Unternehmensgröße oder dem aufgewendeten IT-Budget. Aber warum ist das so? Was macht es letzten Endes so schwierig, eine sichere Umgebung zu schaffen? Ein wichtiger…
Business Process Management | Effizienz | News
Patch-Automatisierung: Fünf Features die für eine echte Entlastung sorgen
Das Patchen von Endpoints zählt zu den wichtigsten, aber auch zu den zeitraubenden Tätigkeiten von IT-Abteilungen. Automatisierungslösungen helfen, den Aufwand deutlich zu reduzieren, doch nicht jedes Tool hält, was es verspricht. Patchen fühlt sich für IT-Abteilungen oft wie Sisyphusarbeit an, insbesondere die Aktualisierung von Drittanbieter-Anwendungen. Von diesen gibt es in der Regel einige Dutzend…
IT-Security | News | Tipps
5 Best Practices für ein risikobasiertes Patch Management
Cyberkriminelle lassen sich nicht lange bitten: Vom Moment der Veröffentlichung einer Schwachstelle dauert es im Schnitt nur 22 Tage bis zur Entwicklung eines funktionsfähigen Exploits. Auf der Unternehmensseite vergehen allerdings durchschnittlich zwischen 100 und 120 Tage, bis ein verfügbarer Patch umgesetzt wird. Ein Grund für diese Diskrepanz ist sicherlich, dass Unternehmen gegen die bloße Anzahl…