Microsoft hat gestern den grössten Patchday seiner Geschichte ausgeliefert. Der bisherige Rekord stammte vom September und lag bei 995 Lücken.
Wie viele es diesmal waren, lässt sich nicht genau sagen. Und das ist kein Versäumnis dieses Textes, sondern eine Eigenheit der Sache.
Vier Quellen, vier Zahlen
BleepingComputer 1411 Luecken 70 kritisch
Dark Reading 1409 80
Rapid7 1413 —
Talos 1415 85
eine weitere 1417 76
Rapid7 nennt den Grund: Dort werden ausschliesslich Microsoft-eigene Lücken gezählt, die Updates für den Edge-Browser bleiben aussen vor. Andere zählen sie mit. Dazu kommen Nachmeldungen, erneut veröffentlichte Einträge und Lücken in mitgelieferten Fremdkomponenten.
Für die Grössenordnung ist das gleichgültig: Es sind mehr als 1400, und das sind rund vierzig Prozent mehr als beim bisherigen Rekord vor einem Monat.
Für Ihren Betrieb ist diese Zahl allerdings vollkommen wertlos. Niemand kann 1400 Lücken bewerten, und niemand muss es.
Die eine, die zählt
Bei einem Punkt sind sich alle Quellen einig: CVE-2026-96951 wird bereits angegriffen.
Sie steckt in der Windows Shell, trägt den Schweregrad 8.8 und umgeht eine Schutzfunktion namens Mark of the Web.
Diese Funktion ist unauffällig und wichtig zugleich. Wenn Sie eine Datei aus dem Internet herunterladen oder aus einer E-Mail speichern, hängt Windows eine unsichtbare Markierung daran: Diese Datei kommt von aussen. Word und Excel öffnen solche Dateien daraufhin in der Geschützten Ansicht, ohne Makros. SmartScreen fragt nach, bevor ein Programm startet.
Ein Bypass bedeutet: Die Markierung fehlt. Die Datei verhält sich, als hätte sie schon immer auf Ihrem Rechner gelegen. Keine Geschützte Ansicht, keine Nachfrage, keine Warnung.
Warum ausgerechnet diese Lücke unangenehm ist
Vor einer Woche haben wir über den Wochenrückblick des Bundesamts für Cybersicherheit geschrieben. Die Kernaussage dort: Nicht der Klick ist das Risiko, sondern die Handlung, zu der jemand überredet wird — ein Programm starten, einen Befehl ausführen, Makros aktivieren.
Mark of the Web ist genau die Bremse, die vor dieser Handlung sitzt. Sie ist der Moment, in dem Windows fragt: Wollen Sie das wirklich?
Diese Bremse wurde ausgehebelt, und zwar nicht theoretisch. Microsoft bestätigt die Ausnutzung.
Wie verbreitet die Angriffe sind, sagt Microsoft nicht. «In the wild» heisst, dass es vorkommt — nicht, wie oft.
Die beiden anderen Zero-Days
Sie wurden vor dem Patch öffentlich bekannt, werden aber nicht angegriffen. Dieser Unterschied geht in Meldungen über «drei Zero-Days» regelmässig verloren.
CVE-2026-108398 im .NET Framework umgeht Windows Defender Application Control, also die Funktion, die bestimmt, welche Programme überhaupt starten dürfen. Gefunden hat sie James Forshaw von Google Project Zero. Rapid7 stuft die Wahrscheinlichkeit einer Ausnutzung als gering ein.
CVE-2026-92707 betrifft MessagePack-CSharp und ermöglicht eine Überlastung. Das ist eine Komponente für Entwickler, kein Endanwenderproblem.
Was ein Kleinbetrieb heute tun sollte
Die Oktober-Updates einspielen, zeitnah. Nicht wegen der 1400, sondern wegen der einen. Für Arbeitsplatzrechner heisst das: Windows Update laufen lassen und neu starten. Bei den meisten passiert das von selbst, aber «von selbst» hat eine Erfolgsquote unter hundert Prozent.
Nachsehen, ob es wirklich durchgelaufen ist. Das ist der Schritt, den fast alle überspringen. Unter Einstellungen, Windows Update, Updateverlauf steht, was tatsächlich installiert wurde. Ein Gerät, das seit Wochen nicht neu gestartet wurde, hat die Updates möglicherweise geladen und nie angewendet — ein Muster, das wir im September bei uns selbst gefunden haben.
An die Geräte denken, die selten laufen. Der Rechner im Lager, das Notebook der Aushilfe, die Maschine in der Werkstatt, die nur für ein Programm eingeschaltet wird. Genau diese Geräte holen die Updates nicht nach, solange sie aus sind.
Und nicht alles auf einmal. Bei einem Patchday dieser Grösse ist die Wahrscheinlichkeit erhöht, dass irgendwo etwas klemmt. Wer kann, spielt zuerst auf wenigen Geräten ein und wartet einen Tag. Was nach einem Update nachkommt, haben wir im September durchgespielt.
Ein Wort zur Rekordzahl
Mehr als 1400 Lücken in einem Monat klingt nach einem Zusammenbruch der Softwarequalität. Das ist zu einfach.
Eine hohe Zahl bedeutet auch, dass mehr gefunden, gemeldet und geschlossen wird — durch automatisierte Analysewerkzeuge, durch Forscher, durch Programme, die für Meldungen zahlen. Eine Lücke, die in der Liste steht, ist eine, die behoben wurde. Die gefährlichen sind die, die nicht darin stehen.
Was die Zahl allerdings zeigt: Die Vorstellung, man könne als Betrieb jede Meldung einzeln bewerten, ist endgültig vorbei. Es braucht eine Regel statt einer Einzelfallprüfung — Updates laufen automatisch, und jemand sieht monatlich nach, ob sie auch angekommen sind.
Wenn Sie das für Ihre Geräte nicht beantworten können: Das ist die eigentliche Lücke, und sie steht in keiner CVE-Liste.