Patchday-Analyse
Patchday Oktober 2026: Microsoft und Adobe sprengen alle Rekorde
Oktober-Analyse der Zero Day Initiative von TrendAI
1.415 Microsoft-Schwachstellen und 174 Adobe-CVEs: Der Oktober-Patchday 2026 erreicht eine bislang unbekannte Dimension. Während Microsoft erstmals eine vierstellige Zahl neuer Sicherheitslücken adressiert, schließen die Adobe-Updates mehrere kritische Schwachstellen mit dem maximalen CVSS-Wert von 10.0. Für Unternehmen wird damit deutlich, dass klassisches Patch-Management angesichts der wachsenden Schwachstellenflut zunehmend an seine Grenzen stößt.
Dustin Childs, Head of Threat Awareness, TrendAI , analysiert die veröffentlichten Security Updates, ordnet besonders relevante Schwachstellen ein und zeigt, welche Patches aus technischer Sicht besondere Aufmerksamkeit verdienen.
Der Microsoft-Patchday im Oktober 2026 setzt einen neuen Negativrekord. Nach Auswertung der Zero Day Initiative (ZDI) umfasst das aktuelle Sicherheitsupdate 1.415 neue CVEs – mehr als Microsoft bislang in einem gesamten Kalenderjahr veröffentlicht hatte. Hinzu kommen 174 Sicherheitslücken in elf Adobe-Bulletins. Die schiere Anzahl stellt IT-Sicherheitsteams vor erhebliche Herausforderungen bei der Bewertung, Priorisierung und Bereitstellung von Sicherheitsupdates.
Allerdings bedeutet eine hohe Zahl von Schwachstellen nicht automatisch eine entsprechend hohe unmittelbare Bedrohung. Entscheidend sind die tatsächliche Ausnutzbarkeit, die Exposition betroffener Systeme und die Frage, ob Angreifer bereits aktiv nach verwundbaren Installationen suchen. Gerade in diesen Punkten liefert der Oktober-Patchday einige bemerkenswerte Erkenntnisse.
Microsoft: 1.415 CVEs und eine aktiv ausgenutzte Zero-Day-Lücke
Microsoft veröffentlicht im Oktober erstmals Sicherheitsupdates für eine vierstellige Anzahl neuer CVEs. Betroffen sind zahlreiche zentrale Unternehmensplattformen und IT-Infrastrukturkomponenten, darunter Windows, Microsoft Office, SharePoint, Exchange Server, SQL Server, .NET, Dynamics sowie verschiedene Azure-Dienste.
Trotz des Rekordumfangs ist bislang nur eine der adressierten Schwachstellen als aktiv ausgenutzt bekannt. Zwei weitere Sicherheitslücken wurden bereits vor Veröffentlichung der Updates öffentlich bekannt.
Besonders kritisch bewertet die ZDI allerdings eine andere Entwicklung: Insgesamt 59 Schwachstellen erfüllen nach Einschätzung der Sicherheitsforscher die technischen Voraussetzungen für eine wurmartige Verbreitung.
Das bedeutet, dass entsprechende Angriffe unter geeigneten Bedingungen ohne vorherige Authentifizierung und ohne Benutzerinteraktion möglich sein können. Betroffen sind unter anderem Netzwerkdienste wie DHCP-Server, Network Policy Server und Remote Desktop Gateway sowie Komponenten der Windows-Fehlerberichterstattung.
Eine tatsächliche wurmartige Angriffskampagne ist damit nicht nachgewiesen. Die hohe Anzahl potenziell selbstständig ausnutzbarer Sicherheitslücken verdeutlicht jedoch, welche Risiken in unzureichend segmentierten Unternehmensnetzwerken entstehen können.
Windows Shell: Aktiv ausgenutzte Schwachstelle erfordert schnelles Handeln
Die höchste operative Priorität besitzt CVE-2026-96951. Die Sicherheitslücke in der Windows Shell erreicht einen CVSS-Wert von 8.8 und wird nach Angaben von Microsoft bereits aktiv ausgenutzt.
Angreifer können damit Sicherheitsmechanismen umgehen, die Windows normalerweise beim Umgang mit Dateien aus nicht vertrauenswürdigen Quellen aktiviert.
Im Mittelpunkt steht der Schutzmechanismus Mark of the Web (MotW). Er kennzeichnet beispielsweise Dateien, die aus dem Internet heruntergeladen wurden, und ermöglicht darauf aufbauende Sicherheitsprüfungen und Warnmeldungen.
Wird dieser Mechanismus umgangen, können Schutzfunktionen ihre Wirkung verlieren. Damit steigt das Risiko, dass Anwender manipulierte Dateien öffnen und dadurch weitere Angriffsschritte ermöglichen.
Da bereits aktive Angriffe beobachtet werden, sollten Unternehmen das entsprechende Update mit hoher Priorität testen und verteilen.
SharePoint, SQL Server und Exchange im Fokus
Neben der Windows-Shell-Schwachstelle verdienen mehrere serverseitige Sicherheitslücken besondere Aufmerksamkeit.
CVE-2026-102866 – Microsoft SharePoint (CVSS 8.1)
Eine Schwachstelle bei der Überprüfung kryptografischer Signaturen kann zur Übernahme fremder Identitäten führen. Besonders relevant ist, dass die Sicherheitslücke ohne vorherige Authentifizierung ausgenutzt werden kann, sofern Angreifer über ein gültiges Proof-Token verfügen. Gerade bei öffentlich erreichbaren SharePoint-Installationen sollten Administratoren die erforderlichen Updates deshalb zeitnah einspielen.
CVE-2026-65674 – Microsoft SQL Server (CVSS 8.8)
Die Sicherheitslücke ermöglicht Remote Code Execution durch die unsichere Deserialisierung nicht vertrauenswürdiger Daten. Ein authentifizierter Angreifer kann dadurch unter bestimmten Voraussetzungen eigenen Code auf einem betroffenen System ausführen. Besonders relevant ist die Schwachstelle für SQL-Server-Installationen mit direkter Internetanbindung oder weitreichenden Zugriffsmöglichkeiten innerhalb der Unternehmensinfrastruktur.
CVE-2026-70571 – Microsoft Exchange Server (CVSS 8.1)
Auch Exchange Server ist von einer kritischen Remote-Code-Execution-Schwachstelle betroffen. Technisch weist sie Eigenschaften auf, die eine wurmartige Ausbreitung ermöglichen könnten. Microsoft bewertet die praktische Ausnutzbarkeit allerdings zurückhaltender, da Angreifer umfangreiche Kenntnisse über die jeweilige Umgebung benötigen und die Erfolgswahrscheinlichkeit als gering eingeschätzt wird. Dennoch gehört die Schwachstelle auf die Prioritätenliste von Unternehmen, die eigene Exchange-Server betreiben. Öffentlich bekannte .NET-Schwachstelle gefährdet Anwendungskontrollen
Eine weitere sicherheitsrelevante Schwachstelle betrifft das .NET Framework.
CVE-2026-108398 erreicht einen CVSS-Wert von 8.8 und kann dazu führen, dass Sicherheitskontrollen von Windows Defender Application Control (WDAC) umgangen werden.
WDAC soll verhindern, dass nicht autorisierte Anwendungen oder unerwünschter Code ausgeführt werden. Eine Umgehung dieser Kontrollmechanismen kann bestehende Sicherheitsarchitekturen erheblich schwächen.
Die Schwachstelle war zum Zeitpunkt der Update-Veröffentlichung bereits öffentlich bekannt. Hinweise auf eine aktive Ausnutzung lagen jedoch nicht vor. Ebenfalls öffentlich bekannt ist CVE-2026-92707, eine Denial-of-Service-Schwachstelle in der Drittanbieterbibliothek MessagePack-CSharp.
Adobe: 174 Schwachstellen in elf Sicherheitsbulletins
Auch Adobe veröffentlicht im Oktober ein umfangreiches Sicherheitspaket. Insgesamt werden 174 unterschiedliche CVEs in elf Sicherheitsbulletins adressiert. Betroffen sind unter anderem Adobe Experience Manager, ColdFusion, Commerce, Photoshop, FrameMaker, Bridge, Dimension, mehrere Substance-3D-Anwendungen und das Content Credentials SDK. Besonders auffällig: Drei Bulletins enthalten Schwachstellen mit dem maximalen CVSS-Wert von 10.0.
Obwohl bislang keine der im Oktober geschlossenen Adobe-Schwachstellen als aktiv ausgenutzt oder öffentlich bekannt eingestuft wird, empfiehlt die ZDI insbesondere bei serverseitigen Produkten eine beschleunigte Aktualisierung.
Adobe ColdFusion: Kritische Angriffsmöglichkeiten auf Server
APSB26-144 – 32 CVEs, maximal CVSS 10.0
Als besonders dringlich stuft die ZDI die Sicherheitsupdates für Adobe ColdFusion ein. Unter den insgesamt 32 Schwachstellen befinden sich mehrere kritische Sicherheitslücken, die unter anderem uneingeschränkte Datei-Uploads, Code Injection, Server-Side Request Forgery (SSRF) und fehlerhafte Autorisierungsprüfungen betreffen. Die Kombination dieser Schwachstellen entspricht einem besonders gefährlichen Angriffsmuster: Unter bestimmten Voraussetzungen können Angreifer bereits vor einer Authentifizierung Schwachstellen ausnutzen und möglicherweise eigenen Code auf einem Server ausführen.
Weitere denkbare Auswirkungen reichen von unberechtigten Dateizugriffen bis zur Ausweitung von Berechtigungen. Obwohl Adobe das Bulletin lediglich mit der Bereitstellungspriorität 2 versieht, empfiehlt die ZDI, insbesondere öffentlich erreichbare ColdFusion-Systeme bevorzugt zu aktualisieren. Adobe Commerce: Kritische Schwachstellen im E-Commerce
APSB26-153 – 11 CVEs, maximal CVSS 10.0
Adobe Commerce zählt zu den besonders attraktiven Angriffszielen. Die Plattform verarbeitet geschäftskritische Transaktionen und ist häufig eng mit Zahlungs-, Kunden- und Warenwirtschaftssystemen verbunden.
Der Oktober-Patch schließt elf Schwachstellen, darunter kritische Probleme bei der Template-Verarbeitung und Autorisierung. Mögliche Auswirkungen sind die Ausführung von Schadcode, unberechtigte Zugriffe und die Manipulation von Dateien.
Besondere Aufmerksamkeit verdient das Update auch deshalb, weil Adobe bereits im September eine aktiv ausgenutzte Zero-Day-Schwachstelle in Commerce schließen musste. Für Betreiber von E-Commerce-Plattformen unterstreicht dies die Notwendigkeit, Sicherheitsupdates nicht allein anhand ihrer offiziellen Bereitstellungspriorität einzuordnen. Adobe Experience Manager: Breite Angriffsfläche
APSB26-152 – 33 CVEs, maximal CVSS 10.0
Der Adobe Experience Manager ist von 33 unterschiedlichen Sicherheitslücken betroffen. Neben zahlreichen Cross-Site-Scripting-Schwachstellen (XSS) enthält das Bulletin mehrere gravierende serverseitige Sicherheitsprobleme. Dazu zählen OS Command Injection, SQL Injection, XML External Entity Injection (XXE) und Path Traversal. Je nach Schwachstelle und Konfiguration können Angreifer dadurch Sicherheitskontrollen umgehen, unberechtigte Zugriffe erlangen oder eigenen Code ausführen. Besonders für Unternehmen, die Adobe Experience Manager als zentrale Content-Management- und Digital-Experience-Plattform einsetzen, ergibt sich daraus ein erheblicher Prüf- und Aktualisierungsbedarf.
59 potenziell wurmartige Schwachstellen verschärfen die Risikolage
Abseits der bereits aktiv ausgenutzten Zero-Day-Lücke offenbart der Oktober-Patchday eine weitere problematische Entwicklung.
Die ZDI identifiziert 59 Microsoft-Schwachstellen, deren technische Eigenschaften eine selbstständige Weiterverbreitung von Angriffen begünstigen könnten. Bei sogenannten wormable vulnerabilities ist unter geeigneten Bedingungen weder eine vorherige Anmeldung noch eine aktive Mitwirkung eines Anwenders erforderlich.
Insbesondere in komplexen Unternehmensnetzwerken kann dies gefährlich werden. Gelingt Angreifern die Kompromittierung eines Systems, könnten weitere verwundbare Systeme automatisiert angegriffen werden. Netzwerksegmentierung, restriktive Zugriffskontrollen und ein konsequentes Schwachstellenmanagement bleiben deshalb entscheidende Maßnahmen zur Begrenzung möglicher Angriffsketten.
Microsoft führt Risk Cohorts zur besseren Priorisierung ein
Angesichts der wachsenden Zahl veröffentlichter Sicherheitslücken testet Microsoft einen neuen Ansatz zur Strukturierung von Schwachstelleninformationen. Mit sogenannten Risk Cohorts sollen Sicherheitslücken anhand gemeinsamer Risikomerkmale gruppiert werden.
Ziel ist es, Unternehmen bei der Analyse umfangreicher Sicherheitsupdates zu unterstützen und zusammenhängende Risikobereiche leichter erkennbar zu machen. Microsoft betont allerdings, dass diese Gruppen keine offiziellen neuen Schwachstellenkategorien darstellen und die individuelle Bewertung einzelner CVEs nicht ersetzen.
Der Ansatz könnte dennoch dazu beitragen, die zunehmende Informationsflut im Vulnerability Management besser zu bewältigen.
Patch-Management braucht eine risikobasierte Strategie
Der Oktober-Patchday verdeutlicht, dass die reine Anzahl veröffentlichter CVEs zunehmend an Aussagekraft verliert. Bei mehr als 1.400 Microsoft-Schwachstellen innerhalb eines Monats ist es für viele Unternehmen kaum praktikabel, jede Sicherheitslücke isoliert zu analysieren und mit derselben Dringlichkeit zu behandeln. Entscheidend ist vielmehr eine Priorisierung anhand der tatsächlichen Bedrohungslage.
Dabei sollten insbesondere bereits ausgenutzte Schwachstellen, öffentlich erreichbare Systeme, mögliche Remote-Code-Execution-Angriffe und Sicherheitslücken mit hohem Ausbreitungspotenzial berücksichtigt werden. Ebenso wichtig ist die Frage, welche Systeme für den Geschäftsbetrieb besonders kritisch sind und welche Auswirkungen eine erfolgreiche Kompromittierung hätte.
Fazit
Der Patchday im Oktober 2026 markiert nicht nur einen neuen Rekord bei der Anzahl veröffentlichter Sicherheitslücken. Er zeigt auch, dass Unternehmen ihre Prozesse im Vulnerability Management weiterentwickeln müssen. Automatisierte Schwachstellenanalysen, kontinuierliche Transparenz über vorhandene IT-Assets und eine konsequent risikobasierte Priorisierung werden zur Voraussetzung, um mit der wachsenden Geschwindigkeit der Sicherheitsupdates Schritt zu halten. Quelle: Zero Day Initiative (ZDI), The October 2026 Security Update Review, 13. Oktober 2026. Die technischen Angaben und Bewertungen der Schwachstellen entsprechen der aktuellen ZDI-Analyse. (Zero Day Initiative)
