Microsofts Sicherheitsausgabe vom 13. Oktober 2026 enthält über 1.400 Fixes, aber nicht ebenso viele gleich dringende Notfälle. Eine neu behobene Windows-Shell-Lücke wurde bereits ausgenutzt. Das ist der klarste Unterschied in einer ungewöhnlich großen Arbeitslast.
Die Zählungen reichen von 1.407 bis 1.415, abhängig von Produkten, früheren Fixes und Datenstand. September lag bereits bei etwa 1.000. Berichte verbinden den Anstieg teilweise mit Automatisierung und KI, ohne deren genauen Beitrag zu messen.
Inventare, Kompatibilitätstests, Wartungsfenster und Kontrolle bestimmen weiterhin, wann eine gefundene Schwäche tatsächlich geschlossen ist. Entdeckung und Umsetzung skalieren nicht gleich.
Unterschiedliche Zahlen, gemeinsame Dimension
ZDI zählte 1.415 neue CVEs, Rapid7 1.413 mit 1.102 Windows-Fällen. Andere kamen auf 1.407, 1.409 oder 1.411. Cloud, Komponenten und früh veröffentlichte Fixes erklären Differenzen; präzise Zahlen brauchen Methodik.
Windows dominiert, aber Office, SharePoint, Exchange, .NET, SQL Server, Entwicklung und Azure sind enthalten. CrowdStrike nannte 75 Critical und drei Zero-Days. Zero-Day heißt dabei nicht automatisch aktive Ausnutzung; eine neu geschlossene Lücke war unter Angriff.
Microsofts Risk Cohorts gruppieren verwandte Schwächen, ersetzen aber laut Anbieter weder CVE-Prüfung noch Verteilungsvorgaben. Eine Gruppe kennt keine örtliche Installation, Erreichbarkeit oder Geschäftskritikalität.
Auch ungenutzte Schwächen erzeugen Arbeit. Authentifizierung, Netze, Fernzugriff und Anwendungen müssen nach Updates funktionieren. Nach Septemberproblemen mit Remote Desktop, Audio und virtualisierten Dateifreigaben sind Tests vernünftig, nicht aber pauschales Ignorieren bekannter Angriffe.
Die ausgenutzte Shell-Lücke ist anders
CVE-2026-96951 ist ein Sicherheitsfunktions-Bypass mit 8,8, für unterstützte Clients und Server einschließlich Windows 10 und 11. Forscher beschreiben Umgehung von Mark of the Web, der Herkunftsmetadaten für Warnungen und zusätzliche Prüfungen externer Dateien.
Eine entfernte Barriere unterstützt Anhangs- oder Downloadketten, bedeutet aber keinen automatischen Komplettangriff durch die Lücke allein. Akteur, Ausmaß und nachfolgende Schadsoftware waren beim Start nicht vollständig öffentlich beschrieben.
Ausnutzung wiegt trotzdem anders als ein theoretischer 9,8-Wert. CVSS beschreibt technische Standardbedingungen, nicht echte Werkzeuge, Erreichbarkeit oder Datenwert. Anhänge und Downloads machen Endpunkte relevant, auch ohne öffentlich offenen Dienst.
Administrations-, Entwickler-, Finanz- und Führungskräftegeräte besitzen oft wertvolle Rechte. Endpunkt-, Anhangs- und Anwendungskontrollen helfen während der Verteilung, belegen aber weder unnötigen Patch noch fehlende Voraktivität.
KEV erfasst beobachtete Angriffe. Bundesfristen gelten für die erfassten Behörden, nicht automatisch Firmen. Fortras Tyler Reguly nannte 26 Microsoft-KEV-Einträge in 2026 bis dahin als Prioritätshilfe, nicht als Entwarnung für den Rest.
Automatisches Finden überholt den Betrieb
Statische Analyse, Fuzzing und Variantenanalyse skalieren bekannte Muster. Fuzzing nutzt unerwartete Eingaben, Variantenanalyse verwandte Fehler. LLMs helfen bei Review, Test und Reparatur; menschliche Validierung bleibt erforderlich.
Krebs verknüpft den Anstieg mit Microsofts LLM-Nutzung. Die Zahl trennt aber weder alte schneller gefundene Defekte noch größere Produktabdeckung, konsequentere Nummern oder neue Offenlegung. Ein Muster kann mehrere CVEs erzeugen.
ZDI meldete 15 Microsoft-Zero-Days bis Oktober 2026 gegenüber 17 im gleichen Zeitraum 2023 und 914 CVEs im gesamten Jahr 2023. Ein Monat übertrifft das Jahr, ohne proportional mehr beobachtete Zero-Days.
Das zeigt Sichtbarkeit, keinen endgültigen Abwehrsieg. Angreifer vergleichen alte und neue Binärdateien und rekonstruieren Schwächen. Mehr Triage kann den Zeitraum zwischen Veröffentlichung und Installation verlängern. Ein nützlicher offener Weg genügt.
Critical braucht Umweltkontext
ZDI identifizierte 59 potenziell wurmfähige Fehler nach seiner Definition ohne Authentifizierung oder Nutzerinteraktion. Das prognostiziert keine 59 Internetwürmer. Dienste können deaktiviert, intern oder anderweitig beschränkt sein.
DHCP, Network Policy Server, Remote Desktop Gateway, DNS, TCP/IP und IIS gehören dazu. Message Queuing hat einen Critical-9,8-Remote-Code-Fix, ist aber nicht standardmäßig aktiv. Installation und untrusted Erreichbarkeit ändern das Risiko.
SharePoint CVE-2026-102866 betrifft Critical-Rechteausweitung bei Signaturprüfung und benötigt angeblich ein gültiges Proof-Token für den Zielnutzer. Das ist nicht unauthentifizierter Netzwerkzugriff, betrifft aber wertvolle Daten.
Exchange, Office, AD, .NET und Netzprobleme hängen von Architektur ab. Cloud-only und alter eigener Mailserver unterscheiden sich. Einige Cloud-Fixes waren von Microsoft erledigt und verlangten keine Kundenausrollung.
Nicht relevante Einträge herauszufiltern ist keine Vernachlässigung. Produkte, Zugang, Authentifizierung, Interaktion und Auswirkungen müssen unterschieden werden. Ersatzkontrollen verschaffen Testzeit, keine dauerhafte Immunität.
Geschützte Exposition statt geschlossene Tickets
Laptops, Server, Industrie und Cloud haben verschiedene Besitzer und Zyklen. Scanner erzeugen doppelte oder unvollständige Zuordnungen. Abgleich kostet Zeit statt Risiko zu reduzieren.
Gestaffelte Ringe prüfen repräsentative Geräte; hohe Risiken können beschleunigt werden. Fehlgeschlagene und wartende Installationen müssen getrennt sein: Reparatur oder Appanpassung ist etwas anderes als das nächste Fenster. Ausnahmen benötigen Eigentümer und Ablauf.
Eine hohe Abschlussquote kann einen offenen Server oder privilegierten Endpunkt verbergen. Berichte sollten ausgenutzte Fälle, erreichbare Critical-Dienste, nicht unterstützte Geräte, Fehler und überfällige Ausnahmen trennen. Durchschnittswerte verdecken den gefährlichen Rest.
Als Nächstes zählen weitere bestätigte Angriffe, funktionierender Exploitcode und Patchzuverlässigkeit. Öffentlicher Code beweist keine breite Kampagne, senkt aber die Hürde. Advisory-Änderungen, KEV, Scans und Verteilungstelemetrie verändern die Bewertung.
Windows wurde nicht plötzlich 1.400-mal unsicherer; die übrigen Fixes sind dennoch nicht belanglos. Entdeckung wächst schneller als sichere Umsetzung. Entscheidend ist nachgewiesener Schutz und eine dokumentierte Erklärung samt Überwachung für verbleibende Verzögerungen.