1.413 Lücken, eine Reihenfolge: So priorisieren Sie den Oktober-Patchday nach Serverrollen

Microsoft hat am 13. Oktober 2026 so viele Sicherheitslücken geschlossen wie nie zuvor: je nach Zählweise 1.411 oder 1.413. Die aktiv ausgenutzte Lücke in der Windows Shell und die kritischen Outlook- und Exchange-Fehler haben wir bereits in unserem Beitrag zum Oktober-Patchday eingeordnet. Dieser Beitrag widmet sich dem Teil, der in den meisten Übersichten untergeht: Lücken in Serverrollen, die in fast jedem Windows-Netz laufen und sich teils ohne Anmeldung über das Netz angreifen lassen.

Was der Oktober enthält

Nach der Auswertung von CrowdStrike entfallen knapp die Hälfte der Korrekturen (677) auf Rechteausweitungen, 317 auf Codeausführung aus der Ferne und 254 auf die Preisgabe von Informationen. Angegriffen wird nach Microsofts Angaben bislang nur CVE-2026-96951 (CVSS 8,8): Eine präparierte Datei oder ein Link umgeht das Mark of the Web, also die Kennzeichnung, an der Windows Dateien aus dem Internet erkennt und vor dem Öffnen warnt. Die US-Behörde CISA hat die Lücke noch am Patchday in ihren Katalog ausgenutzter Schwachstellen aufgenommen. Vorab öffentlich bekannt war außerdem CVE-2026-108398 in .NET Framework (CVSS 8,8), mit der ein angemeldeter Angreifer die Anwendungssteuerung WDAC umgehen kann.

Für den Betrieb wichtiger sind die Lücken in Serverdiensten. Für keine der folgenden meldet Microsoft bisher Angriffe. Wie schnell sich das ändern kann, zeigt die Erfahrung mit veröffentlichten Patches: Sie werden zunehmend automatisiert analysiert und in Angriffswerkzeuge übersetzt.

Warum das Etikett „wichtig“ in die Irre führen kann

Microsoft bewertet jede Lücke zweifach: mit dem CVSS-Wert und mit einer eigenen Schweregradstufe. Beim Network Policy Server klaffen beide auseinander. Zwei Lücken mit dem Höchstwert 9,8 tragen nur das Etikett „wichtig“. Wer seine Patchreihenfolge allein nach „kritisch“ filtert, sortiert sie damit nach hinten. Gerade NPS ist aber oft genau der Dienst, den Firewall und WLAN-Controller bei jeder VPN- oder WLAN-Anmeldung ansprechen, und damit aus mehr Netzsegmenten erreichbar als andere Server.

Neu ist in diesem Monat ein Hilfsmittel von Microsoft selbst: Die sogenannten Risk Cohorts fassen die CVEs eines Monats in Gruppen mit gemeinsamen Prüffragen zusammen, im Oktober in 15 Gruppen, etwa für Office-Dokumente und Mail-Clients oder für Dateisysteme und Backup. Microsoft bezeichnet das ausdrücklich als Orientierung und nicht als offizielle Kategorie. Für die Planung ist der Ansatz trotzdem nützlich, weil er von der Frage ausgeht, welche Rolle ein System im eigenen Netz spielt.

Was Betreiber jetzt prüfen sollten

1. Rollen inventarisieren. Feststellen, auf welchen Servern DHCP, NPS, AD DS, Hyper-V, MSMQ und SQL Server laufen. Das Skript unten erledigt das für alle Server der Domäne und zeigt zugleich das zuletzt installierte Update.
2. NPS und DHCP in den ersten Server-Ring nehmen. Beide sind ohne Anmeldung angreifbar. Bei NPS zusätzlich in der Firewall prüfen, dass die RADIUS-Ports (UDP 1812/1813) nur von den eingetragenen RADIUS-Clients wie Firewall und WLAN-Controller erreichbar sind.
3. Domänencontroller nacheinander patchen. Nie alle gleichzeitig neu starten. Nach jedem Neustart die Replikation prüfen, etwa mit repadmin /replsummary, bevor der nächste folgt. Wo DHCP und NPS auf dem DC laufen, deckt ein Neustart alle drei Rollen ab, braucht aber ein abgestimmtes Wartungsfenster.
4. MSMQ entfernen, wo es niemand braucht. Message Queuing bleibt nach Software-Deinstallationen oft zurück. Ist kein Dienst mehr darauf angewiesen, ist das Entfernen der Funktion die zuverlässigste Absicherung.
5. Hyper-V-Hosts mit fremden VMs vorziehen. Wo Gastsysteme von Dritten verwaltet werden, etwa Fachanwendungen eines Softwarehauses, ist die Grenze zwischen VM und Host eine Sicherheitsgrenze. Vor dem Neustart Live-Migration oder ein gepflegtes Backup sicherstellen.
6. Installation verifizieren, nicht nur verteilen. Ein freigegebenes Update ist kein installiertes Update. Nach dem Patchlauf Build-Nummer und Installationsdatum je Server prüfen; Server, die seit Wochen kein Update bekommen haben, fallen im Skriptergebnis sofort auf.

#Requires -Modules ActiveDirectory
Import-Module ActiveDirectory

# Konto mit Administratorrechten auf den Servern
$cred = Get-Credential -Message 'Administratorkonto fuer die Abfrage der Server'

# Alle aktiven Server der Domaene
$server = Get-ADComputer -Filter 'OperatingSystem -like "*Server*" -and Enabled -eq $true' -Properties OperatingSystem |
    Select-Object -ExpandProperty DNSHostName

$block = {
    Import-Module ServerManager -ErrorAction SilentlyContinue
    $rollen = [ordered]@{
        'DHCP'               = 'DHCP-Server'
        'NPAS'               = 'NPS (RADIUS)'
        'AD-Domain-Services' = 'Domaenencontroller'
        'Hyper-V'            = 'Hyper-V-Host'
        'MSMQ'               = 'Message Queuing'
    }
    $aktiv = @(foreach ($f in $rollen.Keys) {
        $feat = Get-WindowsFeature -Name $f -ErrorAction SilentlyContinue
        if ($feat -and $feat.Installed) { $rollen[$f] }
    })
    if (Get-Service -Name 'MSSQLSERVER','MSSQL$*' -ErrorAction SilentlyContinue) { $aktiv += 'SQL Server' }

    $cv = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
    $hf = Get-HotFix | Where-Object InstalledOn | Sort-Object InstalledOn -Descending | Select-Object -First 1

    [pscustomobject]@{
        Server        = $env:COMPUTERNAME
        Rollen        = ($aktiv -join ', ')
        Build         = '{0}.{1}' -f $cv.CurrentBuild, $cv.UBR
        LetztesUpdate = $hf.HotFixID
        InstalliertAm = $hf.InstalledOn
    }
}

$ergebnis = Invoke-Command -ComputerName $server -Credential $cred -ScriptBlock $block -ErrorAction SilentlyContinue -ErrorVariable fehler

$ergebnis |
    Select-Object Server, Rollen, Build, LetztesUpdate, InstalliertAm |
    Sort-Object Server |
    Format-Table -AutoSize

if ($fehler) {
    Write-Warning ('Nicht erreichbar: ' + (($fehler | ForEach-Object { $_.TargetObject }) -join ', '))
}

Einordnung

Drei Punkte nehmen wir aus diesem Patchday mit:

• Die Menge ist nicht das Problem, die Reihenfolge schon. Mehr als 1.400 CVEs lassen sich nicht einzeln bewerten. Wer seine Server nach Rollen und Erreichbarkeit kennt, kann die Liste in Minuten auf die zehn relevanten Punkte reduzieren. Ohne Inventar bleibt nur, alles gleichzeitig zu patchen, mit entsprechendem Ausfallrisiko.
• Schweregrad-Etiketten ersetzen keinen Blick auf den Angriffsweg. Das NPS-Beispiel zeigt, dass „wichtig“ nicht „kann warten“ bedeutet. Entscheidend sind drei Fragen: Ist eine Anmeldung nötig, ist der Dienst aus dem Netz erreichbar, und was hängt an ihm?
• Kleine Umgebungen bündeln Risiken auf wenigen Servern. In Kommunen und mittelständischen Betrieben laufen DHCP, NPS und Domänendienste häufig auf einer einzigen Maschine. Das spart Hardware, macht diesen Server aber zum lohnendsten Ziel im Netz und jeden Patch zu einem Eingriff in Anmeldung, Adressvergabe und VPN zugleich. Wie wichtig zeitnahes Patchen ist, haben wir in „Warum Patchen unerlässlich ist“ beschrieben.

Anlass für diesen Beitrag war der Bericht von Security-Insider: „Microsoft Patchday Oktober 2026: Angreifer können Download-Warnung von Windows umgehen“.

Quellen & weiterführende Links

• Security-Insider

  Microsoft Patchday Oktober 2026: Angreifer können Download-Warnung von Windows umgehen
• Microsoft Security Response Center

  Release Notes Oktober 2026
• Microsoft Security Response Center

  CVE-2026-96951 – Windows Shell
• Microsoft Security Response Center

  Using risk cohorts to prioritize security updates
• CISA

  CISA Adds Two Known Exploited Vulnerabilities to Catalog (13.10.2026)
• BetaNews

  Record Patch Tuesday fixes Windows Shell zero-day attackers already use
• Dark Reading

  Zero-Days Lurk in Microsoft's Overgrown October Patch Tuesday