Microsoft Patchday Oktober 2026: Zero-Day in der Windows-Shell, Support-Ende für Office 2021

Was hat sich am 13. Oktober geändert?

Microsoft veröffentlicht Sicherheitsupdates am zweiten Dienstag im Monat – im Oktober 2026 war das der 13. Oktober. Diesmal war der Patchday zugleich ein Stichtag: Für mehrere weit verbreitete Produkte waren es die letzten regulären Updates.

Die Oktober-Patches im Überblick

Laut Microsofts Sicherheitsdatenbank wurden am 13. Oktober über 1.400 Einträge zu Sicherheitslücken veröffentlicht – Windows, Office, SQL Server, Exchange, .NET und weitere Produkte. Fachmedien zählen teils etwas anders, weil sie zum Beispiel Einträge zu Linux-Komponenten in Azure herausrechnen.

Die aktiv ausgenutzte Lücke: CVE-2026-96951

Die Schwachstelle steckt in der Windows-Shell und erlaubt es, den Schutz „Mark of the Web“ zu umgehen. Diese Markierung sorgt normalerweise dafür, dass Windows und Office bei Dateien aus dem Internet oder aus E-Mails warnen oder sie nur im geschützten Modus öffnen. Fehlt die Warnung, wirkt eine gefährliche Datei harmlos.

Der Angriff läuft über präparierte Dateien oder Links, die per E-Mail oder Messenger verschickt werden – das Opfer muss sie öffnen bzw. anklicken. Microsoft bewertet die Lücke mit 8,8 von 10 Punkten (CVSS). Betroffen sind alle unterstützten Windows-Versionen, von Windows 10 22H2 über Windows 11 bis 26H2 bis zu Windows Server 2012 R2 bis 2025.

• Oktober-Updates auf allen Rechnern und Servern einspielen
• Bei unerwarteten Anhängen und Links besonders vorsichtig sein – auch wenn Windows keine Warnung zeigt

Kritische Office-Lücken – und warum Office 2021 jetzt zum Risiko wird

26 der 72 kritischen Lücken betreffen Office, darunter mehrere in Excel und Visio, über die präparierte Dateien beim Öffnen Schadcode ausführen können. Geschlossen werden sie für Microsoft 365 und Office LTSC 2024. Office 2021 führt Microsoft in diesen Meldungen nicht mehr auf – für nicht mehr unterstützte Versionen werden neue Lücken weder geprüft noch geschlossen. Genau das ist das Risiko nach dem Support-Ende.

Für Firmen: .NET Framework

Vorab öffentlich bekannt war eine Lücke im .NET Framework (CVE-2026-108398). Ein Angreifer, der bereits Zugriff auf einen Rechner hat, kann damit die Anwendungssteuerung „Windows Defender Application Control“ umgehen und eigene Programme ausführen. Relevant ist das vor allem in Firmennetzen, die diese Steuerung nutzen – das Update schließt die Lücke.

Office 2021: keine Updates mehr – und keine Gnadenfrist

Für Office 2021 – also Home & Student, Home & Business, Professional und LTSC 2021 – ist der Support seit dem 13. Oktober beendet. Word, Excel und Outlook starten weiterhin, neu entdeckte Sicherheitslücken werden aber nicht mehr geschlossen. Anders als bei Windows 10 bietet Microsoft keine Verlängerung an.

Gerade Outlook und Word sind ein beliebtes Einfallstor: Präparierte Dokumente und E-Mail-Anhänge zielen genau auf solche Lücken. Welche Umstiegswege es gibt und wie Sie Ihre Version prüfen, steht im Artikel Office 2021: Support-Ende am 13.10.2026.

Windows 11 24H2: Version prüfen und aktualisieren

Windows 11 erhält jedes Jahr eine neue Version. Bei Home und Pro wird jede Version 24 Monate mit Updates versorgt. Für Version 24H2 ist dieser Zeitraum am 13. Oktober 2026 abgelaufen – wer noch 24H2 nutzt, bekommt keine Sicherheitsupdates mehr, obwohl Windows 11 selbst weiter unterstützt wird.

Zur Auswahl stehen zwei aktuelle Versionen: 25H2 (Updates bis Oktober 2027) und die seit 29. September 2026 verfügbare 26H2 (Updates bis Oktober 2028).

So prüfen Sie Ihre Version:

1. Tastenkombination Windows-Taste + R drücken
2. winver eingeben und mit Enter bestätigen
3. Im Fenster steht die Version, z. B. „Version 24H2“, „25H2“ oder „26H2“

So aktualisieren Sie: Unter Start → Einstellungen → Windows Update nach Updates suchen. Wird eine neuere Windows-11-Version angeboten, auf „Herunterladen und installieren“ klicken und den Rechner neu starten. Vorher eine aktuelle Datensicherung anlegen.

Für Firmen mit eigenem Server

Für Windows Server 2022 war das Oktober-Update laut Microsoft das letzte Update des regulären Supports. Der Server erhält weiterhin Sicherheitsupdates im erweiterten Support – neue Funktionen und Verbesserungen gibt es aber nicht mehr. Ein guter Zeitpunkt, die nächste Server-Generation einzuplanen.

Wer AD FS (Active Directory Federation Services) betreibt: Mit den Oktober-Updates beginnt Microsoft, eine angekündigte Härtung der Zugriffsrechte durchzusetzen (CVE-2026-56155). Administratoren sollten die Hinweise von Microsoft dazu prüfen.

Und Windows 10?

Für Windows 10 hat sich am 13. Oktober nichts Grundlegendes geändert: Microsoft hat die erweiterten Sicherheitsupdates (ESU) für Privatnutzer bis zum 12. Oktober 2027 verlängert. Wer bereits für ESU registriert ist, muss nichts tun. Unternehmen nutzen das kostenpflichtige ESU-Programm für Firmen. Mehr dazu im Artikel Windows 10 End of Support.

Checkliste: Das ist jetzt zu tun

• Oktober-Updates über Windows Update einspielen und neu starten – eine Lücke wird bereits ausgenutzt
• Office-Version auf allen Rechnern prüfen (in Word: Datei → Konto)
• Office 2021 durch Microsoft 365 oder Office 2024 ersetzen
• Windows-Version mit winver prüfen – 24H2 auf 25H2 oder 26H2 aktualisieren
• Vor größeren Updates eine aktuelle Datensicherung haben

Unterstützung in Erding: Lizenzen und den Umstieg auf Microsoft 365 oder Office 2024 übernehmen wir unter Software & Lizenzen, regelmäßige Updates im Rahmen der IT-Wartung.