Erneuter Patchday-Rekord: Microsoft und Adobe schließen Hunderte Sicherheitslücken

Besonders dringlich sind mehrere Fehler, die eine Ausführung von Schadcode, Rechteausweitungen oder die Umgehung von Sicherheitsmechanismen ermöglichen.

Microsoft schließt Schwachstellen in zahlreichen Produkten

Mit 1.415 neu erfassten CVEs erreicht Microsoft im Oktober einen außergewöhnlich hohen Wert. Die Sicherheitslücken betreffen unter anderem Windows, Office, SharePoint, Exchange Server, SQL Server, .NET, Entwicklertools sowie verschiedene Azure-Dienste. Auch Komponenten mit Bezug zum Linux-Kernel sind betroffen.

Eine Schwachstelle sticht besonders hervor: CVE-2026-96951 in der Windows Shell wird laut Microsoft bereits aktiv ausgenutzt. Angreifer können damit Schutzmechanismen umgehen, die vor dem Öffnen potenziell gefährlicher Dateien warnen. Unternehmen sollten das Update deshalb zeitnah prüfen und verteilen.

Zwei weitere Sicherheitslücken sind bereits öffentlich bekannt. Dazu zählt CVE-2026-108398 im .NET Framework, über die sich Schutzmaßnahmen der Windows Defender Application Control umgehen lassen. Eine aktive Ausnutzung dieser Schwachstelle wurde bislang nicht gemeldet. Die zweite öffentlich bekannte Lücke betrifft die Drittanbieterkomponente MessagePack-CSharp.

SharePoint, SQL Server und Exchange im Fokus

Neben der aktiv ausgenutzten Windows-Schwachstelle verdienen mehrere weitere Fehler besondere Aufmerksamkeit. In SharePoint ermöglicht CVE-2026-102866 unter bestimmten Voraussetzungen eine Rechteausweitung. Eine fehlerhafte Prüfung kryptografischer Signaturen kann dabei zur Übernahme einer Identität führen. Die Schwachstelle erreicht einen CVSS-Wert von 8,1.

Für SQL Server meldet Microsoft mit CVE-2026-65674 eine Schwachstelle zur Remotecodeausführung mit einem CVSS-Wert von 8,8. Ein authentifizierter Angreifer kann durch die Verarbeitung nicht vertrauenswürdiger Daten eigenen Code ausführen, ohne dass eine weitere Nutzerinteraktion erforderlich ist. Besonders wichtig ist die Prüfung von Systemen, die direkt aus dem Internet erreichbar sind.

Auch Exchange Server ist betroffen. CVE-2026-70571 ermöglicht grundsätzlich eine Remotecodeausführung und wird als technisch wurmfähig eingestuft. Microsoft zufolge setzt eine erfolgreiche Ausnutzung allerdings detaillierte Kenntnisse der jeweiligen IT-Umgebung voraus und ist nur mit geringer Wahrscheinlichkeit möglich.

Die Sicherheitsorganisation Zero Day Initiative (ZDI) stuft insgesamt 59 der im Oktober behandelten Microsoft-Schwachstellen als wurmfähig ein. Bei solchen Fehlern sind weder eine Authentifizierung noch eine Interaktion durch Nutzer erforderlich. Betroffen sind unter anderem DHCP-Server, Network Policy Server, Windows Error Reporting und Remote Desktop Gateway.

Adobe behebt 174 Schwachstellen

Auch Adobe veröffentlicht umfangreiche Sicherheitskorrekturen. Die elf Bulletins betreffen unter anderem ColdFusion, Commerce, Experience Manager, Photoshop, FrameMaker, Bridge und mehrere Produkte der Substance-3D-Reihe. Drei der behandelten Schwachstellenkomplexe erreichen einen CVSS-Höchstwert von 10,0.

Nach den vorliegenden Angaben ist derzeit keine der Adobe-Schwachstellen öffentlich bekannt oder aktiv ausgenutzt. Dennoch sollten Administratoren die Updates zeitnah bewerten, insbesondere wenn die betroffenen Anwendungen von außen erreichbar sind.

ColdFusion und Commerce besonders kritisch

Das Update APSB26-144 für Adobe ColdFusion umfasst 32 Schwachstellen und erreicht einen CVSS-Wert von 10,0. Zu den Fehlerarten zählen uneingeschränkte Datei-Uploads, Code-Injection, serverseitige Anfragen an interne Ressourcen (SSRF) und fehlerhafte Autorisierungsprüfungen. Mögliche Folgen reichen von der Ausführung eigenen Codes bis zum Zugriff auf Dateien und zur Ausweitung von Berechtigungen.

Obwohl Adobe die Aktualisierung mit Priorität 2 einordnet, empfiehlt die Zero Day Initiative, den Patch besonders dringend zu behandeln. Das Risikoprofil ist vor allem bei öffentlich erreichbaren Servern relevant.

Ebenfalls kritisch ist APSB26-153 für Adobe Commerce. Die elf Schwachstellen ermöglichen unter anderem durch Fehler in der Template-Verarbeitung und bei der Autorisierung eine Codeausführung oder eine Ausweitung von Rechten. Das Produkt steht besonders im Fokus, nachdem im Vormonat bereits eine Zero-Day-Schwachstelle aktiv ausgenutzt worden war.

Experience Manager mit breitem Fehlerbild

Das Bulletin APSB26-152 für Adobe Experience Manager umfasst 33 Schwachstellen und erreicht ebenfalls CVSS 10,0. Neben Cross-Site-Scripting-Fehlern (XSS) wurden schwerwiegende serverseitige Probleme identifiziert. Dazu gehören die Ausführung von Betriebssystembefehlen, SQL-Injection, XML External Entity (XXE) und Path Traversal.

Unternehmen sollten prüfen, welche der betroffenen Adobe-Produkte in ihrer Umgebung eingesetzt werden, und die verfügbaren Aktualisierungen entsprechend priorisieren.

Updates nach Risiko und Erreichbarkeit priorisieren

Die hohe Zahl der gemeldeten Schwachstellen macht eine risikobasierte Patch-Planung besonders wichtig. Vorrang haben Systeme mit aktiv ausgenutzten Sicherheitslücken sowie öffentlich erreichbare Anwendungen, bei denen eine erfolgreiche Attacke weitreichende Folgen haben kann.

Für Microsoft-Umgebungen steht zunächst die Windows-Shell-Schwachstelle CVE-2026-96951 im Vordergrund. Bei Adobe sollten insbesondere ColdFusion, Commerce und Experience Manager geprüft werden. Anschließend empfiehlt sich eine Bewertung der übrigen Updates anhand der eingesetzten Produkte, ihrer Erreichbarkeit und ihrer Bedeutung für den Geschäftsbetrieb.

Der nächste Microsoft-Patchday ist für den 10. November 2026 angekündigt.

(red/TrendAI)