Patchday am 13. Oktober 2026: Speicherintegrität, Support-Enden und offene Baustellen

Der zweite Dienstag im Oktober ist in diesem Jahr mehr als ein gewöhnlicher Patchday. Mit den Updates vom 13. Oktober 2026 beginnt Microsoft, eine Kernschutzfunktion von Windows 11 auf bestehenden Geräten selbstständig einzuschalten. Am selben Tag enden mehrere Supportzeiträume, darunter der letzte für Windows Server 2012 und 2012 R2. Dazu kommen Fehler aus dem September, die zum Teil erst jetzt behoben werden, und ein Secure-Boot-Zertifikat, das sechs Tage später ausläuft. Wir haben die Punkte in den Primärquellen nachgeprüft und sortiert.

Speicherintegrität wird auf bestehenden Geräten eingeschaltet

Die Speicherintegrität (englisch Memory Integrity, technisch HVCI) prüft Treiber und anderen Kernelcode in einer vom Hypervisor abgeschotteten Umgebung, bevor er ausgeführt werden darf. Schadcode, der sich auf Kernelebene einnisten will, hat es damit deutlich schwerer. Bei Neuinstallationen von Windows 11 auf passender Hardware ist die Funktion schon länger Standard. Neu ist, dass Microsoft sie nun über die regulären Qualitätsupdates auch auf Bestandsgeräten aktiviert – typischerweise auf Rechnern, die einst von Windows 10 hochgezogen wurden. Microsoft hat das am 1. September 2026 angekündigt; der Start erfolgt mit dem Oktober-Patchday und läuft schrittweise, nicht auf allen Geräten gleichzeitig.

Ist die virtualisierungsbasierte Sicherheit (VBS) auf einem geeigneten Gerät noch aus, schaltet das Update sie gleich mit ein, weil HVCI darauf aufbaut. Wichtig für Administratoren: Wurde die Speicherintegrität bewusst per Gruppenrichtlinie, Intune oder Registry deaktiviert, bleibt diese Entscheidung bestehen. Stellt Windows nach der Aktivierung einen inkompatiblen, für den Start notwendigen Treiber fest, nimmt es die Aktivierung nach Microsofts Angaben wieder zurück, statt das System unbootbar zu machen.

Praktisch heißt das: Alte Treiber, die bisher still mitgelaufen sind, können nach dem Update blockiert werden. Kandidaten sind erfahrungsgemäß ältere Drucker-, Scanner-, VPN- und Dongle-Treiber sowie Spezialhardware in Produktion und Labor. Auf leistungsschwächeren Geräten kann HVCI außerdem etwas CPU-Leistung kosten – für Büroarbeitsplätze meist unerheblich, für CAD- oder Messplätze einen Test wert.

Was am 13. Oktober aus dem Support fällt

Kurz vor dem Patchday hat Microsoft zudem ein außerplanmäßiges Exchange-Update für CVE-2026-96940 nachgeschoben – die Einzelheiten haben wir in einem eigenen Beitrag zum Exchange-V2-Update zusammengefasst.

Altlasten aus dem September-Patchday

Die September-Updates vom 8. September 2026 haben ungewöhnlich viele Nebenwirkungen ausgelöst. Ein Teil davon ist bereits erledigt, ein Teil wartet auf den Oktober. Der Überblick nach Microsofts Release-Health-Angaben und Herstellerhinweisen:

Wer im September die Out-of-Band-Updates ausgelassen hat, sollte das spätestens jetzt nachholen: Sie sind kumulativ, enthalten alle September-Sicherheitskorrekturen und schließen zusätzlich die zunächst unvollständig behobene Lücke CVE-2026-62721. Den Hintergrund zum September-Patchday finden Sie in unserem Beitrag zum Patch Tuesday September 2026.

Sechs Tage später: das letzte Secure-Boot-Zertifikat von 2011

Mehr zum Hintergrund steht in unserem Beitrag Secure Boot 2026.

Was Betreiber jetzt prüfen sollten

1. Speicherintegrität bewusst entscheiden. Geräte mit bekannt problematischen Treibern identifizieren und HVCI dort vor dem 13. Oktober per Gruppenrichtlinie oder Intune gezielt deaktivieren – eine bereits gesetzte Deaktivierung überschreibt Microsoft nicht. Alle anderen Geräte profitieren vom zusätzlichen Schutz.
2. Testring vorziehen. Die Oktober-Updates zuerst auf einer kleinen Gruppe ausrollen, die die typischen Fachanwendungen, Drucker und VPN-Clients abdeckt. Nach dem Neustart in Windows-Sicherheit unter Gerätesicherheit → Kernisolierung prüfen und im Ereignisprotokoll unter Microsoft-Windows-CodeIntegrity/Operational nach blockierten Treibern suchen.
3. Windows Server 2012/2012 R2 inventarisieren. Jede verbliebene Instanz braucht bis zum 13. Oktober einen Plan: migrieren, abschalten oder – als dokumentierte Übergangslösung – im Netz segmentieren und Zugriffe auf das Nötigste beschränken.
4. Office LTSC 2021 und Windows 11 24H2 Pro aufspüren. Beide sind über Softwareinventar oder das Skript unten schnell gefunden. Für 24H2-Geräte reicht in der Regel das Feature-Update auf 25H2, das auf derselben Codebasis aufsetzt.
5. Secure-Boot-Status prüfen. Feststellen, ob das Zertifikat Windows UEFI CA 2023 in der Secure-Boot-Datenbank steht. Bei Geräten, bei denen es fehlt, vorab nach ausstehenden BIOS/UEFI-Updates des Herstellers schauen.
6. Remotedesktop-Hosts gesondert behandeln. RDS- und Citrix-Umgebungen waren im September am stärksten betroffen. Session-Hosts deshalb nicht im ersten Ring patchen, sondern erst nach einigen Tagen Beobachtung, und vorher Snapshots oder ein frisches Backup sicherstellen.

#Requires -RunAsAdministrator
$ErrorActionPreference = 'Stop'
$r = [ordered]@{ Computer = $env:COMPUTERNAME }

# Windows-Version
$cv = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
$r.Edition = $cv.EditionID
$r.Version = $cv.DisplayVersion
$r.Build   = '{0}.{1}' -f $cv.CurrentBuild, $cv.UBR

# VBS und Speicherintegritaet (HVCI)
try {
    $dg = Get-CimInstance -Namespace 'root\Microsoft\Windows\DeviceGuard' -ClassName Win32_DeviceGuard
    $r.VBS  = switch ($dg.VirtualizationBasedSecurityStatus) { 0 {'aus'} 1 {'konfiguriert, nicht aktiv'} 2 {'aktiv'} default {'unbekannt'} }
    $r.HVCI = if ($dg.SecurityServicesRunning -contains 2) { 'aktiv' } else { 'nicht aktiv' }
} catch { $r.VBS = 'n/a'; $r.HVCI = 'n/a' }

$hvciKey = 'HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity'
$enabled = if (Test-Path $hvciKey) { (Get-ItemProperty $hvciKey -ErrorAction SilentlyContinue).Enabled } else { $null }
$r.HVCI_Registry = if ($null -eq $enabled) { 'nicht gesetzt' } else { "Enabled=$enabled" }

# Secure Boot und Zertifikat Windows UEFI CA 2023
try {
    $r.SecureBoot = if (Confirm-SecureBootUEFI) { 'an' } else { 'aus' }
    $db = [System.Text.Encoding]::ASCII.GetString((Get-SecureBootUEFI -Name db).Bytes)
    $r.WindowsUEFICA2023 = if ($db -match 'Windows UEFI CA 2023') { 'vorhanden' } else { 'FEHLT' }
} catch { $r.SecureBoot = 'kein UEFI / nicht lesbar'; $r.WindowsUEFICA2023 = 'n/a' }

# Office 2021 / LTSC 2021 (Click-to-Run)
$c2r = 'HKLM:\SOFTWARE\Microsoft\Office\ClickToRun\Configuration'
$r.Office = if (Test-Path $c2r) { (Get-ItemProperty $c2r).ProductReleaseIds } else { 'kein Click-to-Run-Office' }
$r.Office2021 = if ($r.Office -match '2021') { 'JA - Support endet 13.10.2026' } else { 'nein' }

[pscustomobject]$r | Format-List

Einordnung

Drei Punkte nehmen wir aus diesem Oktober mit:

• Sicherheitsfunktionen kommen zunehmend per Update, nicht per Projekt. Die automatische Aktivierung von HVCI ist sicherheitlich richtig. Sie verschiebt aber Entscheidungen, die früher bewusst im Rahmen eines Hardening-Projekts getroffen wurden, in den laufenden Patchbetrieb. Wer nicht vorher steuert, findet inkompatible Treiber erst am Tag nach dem Update.
• Mehrere Fristen auf einem Datum binden dieselben Ressourcen. Patchday, drei Support-Enden und das Secure-Boot-Zertifikat fallen in dieselbe Woche. Priorisieren sollte man nach Risiko: Was danach gar keine Updates mehr bekommt – Server 2012, Office LTSC 2021 – zuerst; Windows Server 2022 hat noch fünf Jahre Sicherheitsupdates vor sich.
• Ein ruhiger September ist kein Selbstläufer. Nach einem Monat mit Notfall-Updates und Regressionen lohnt es sich, den Oktober nicht unter Zeitdruck flächendeckend auszurollen, sondern mit Testring und Beobachtungsphase – besonders auf Terminalservern.

Anlass für diesen Beitrag war die Patchday-Übersicht von H5M: „Microsoft Patchday Oktober 2026: Termin & alle Daten“.

Quellen & weiterführende Links

• H5M

  Microsoft Patchday Oktober 2026: Termin & alle Daten
• Tom's Hardware

  Microsoft will expand Windows 11 Memory Integrity feature to more PCs starting in October
• Pureinfotech

  Microsoft is making this Windows 11 security feature automatic in October
• Hardwareluxx

  Speicherintegrität HVCI standardmäßig aktiviert
• BleepingComputer

  Windows Server 2022 reaches end of mainstream support next month
• Microsoft Support

  Windows Server 2012 R2 ESU – Support endet im Oktober 2026
• 4sysops

  Microsoft end-of-support products in 2026
• Microsoft Learn

  Windows 11, version 26H1 known issues and notifications
• Citrix

  CTX697101: Issues with Microsoft Windows September 2026 Update
• Borns IT- und Windows-Blog

  Bug im Dateiversionsverlauf durch Sept. 2026-Updates bestätigt und gefixt
• Windows Latest

  Microsoft confirms Windows 11 26H2 is crashing some games and apps
• Microsoft Support

  Windows Secure Boot certificate expiration and CA updates