Patchday-Rekord im Oktober 2026: 1.411 Lücken, ein aktiv ausgenutzter Zero-Day und vier Vorfälle in drei Wochen

Am 13. Oktober 2026 hat Microsoft einen Patchday veröffentlicht, der alle Rekorde des Jahres sprengt: 1.411 geschlossene Sicherheitslücken in einem einzigen Update-Paket, davon 70 als kritisch eingestuft. Mindestens eine Lücke wurde bereits aktiv angegriffen, bevor der Patch überhaupt verfügbar war. Parallel dazu meldeten Fortinet und Sicherheitsforscher weitere kritische Vorfälle, und aus München kam die Bestätigung eines Ransomware-Angriffs auf den Datenaustauschdienst FTAPI. Für IT-Teams in Deutschland, Österreich und der Schweiz verdichteten sich damit binnen drei Wochen vier eigenständige Ereignisse zu einer der dichtesten Bedrohungslagen des Jahres.

1.411 Schwachstellen an einem einzigen Tag

Der Oktober-Patchday reiht sich in einen Trend ein, den Sicherheitsforscher schon länger beobachten: Je mehr automatisierte Code-Scanner, Fuzzing-Tools und interne Audits bei großen Softwareherstellern zum Einsatz kommen, desto mehr Schwachstellen werden pro Release gefunden. Frühere Patchdays 2026 lagen meist bei wenigen Hundert Lücken pro Monat: Der Oktober stellt damit einen der umfangreichsten Patchdays dar, die Microsoft in diesem Jahr ausgeliefert hat.

70 der 1.411 Lücken gelten als kritisch. Das bedeutet im schlimmsten Fall: Angreifer können betroffene Systeme vollständig übernehmen. Zwei der Schwachstellen waren zum Zeitpunkt der Veröffentlichung bereits öffentlich als Zero-Days bekannt, also Lücken, über die Informationen oder sogar Angriffscode kursierten, bevor ein Patch existierte. Besonders betroffen sind nach der Auswertung des Sicherheitsteams von shattered.io internetfacing Dienste, Identitätsdienste, Remote-Zugriff und Admin-Schnittstellen.

Für Unternehmen ist die Masse ein zweischneidiges Schwert. Mehr gefundene Lücken bedeuten gründlichere Qualitätssicherung auf Herstellerseite. Gleichzeitig steigt die Arbeitslast für Patch-Management-Teams, die ohnehin mit begrenzten Kapazitäten kämpfen. Jede Lücke muss bewertet und priorisiert werden, bevor sie ausgerollt werden kann. Wer das noch mit manuellen Excel-Listen versucht, kommt bei dieser Größenordnung nicht mehr hinterher.

CVE-2026-96951: Die Lücke, die Angreifer zuerst hatten

Im Zentrum des Oktober-Patchdays steht CVE-2026-96951. Diese Schwachstelle wurde nach aktuellem Berichtsstand bereits aktiv von Angreifern ausgenutzt, bevor Microsoft den Patch bereitstellte. Genau diese Konstellation, ein laufender Angriff plus ein frisch veröffentlichter Patch, markiert den Moment, in dem Angreifer am aggressivsten nach noch ungepatchten Systemen scannen. Sobald eine Lücke öffentlich wird, beginnt ein Wettlauf: Verteidiger rollen den Patch aus, Angreifer suchen nach den Systemen, bei denen das noch nicht passiert ist.

CVE-2026-96951 gehört nicht in den regulären Monatszyklus, sondern sollte wie ein eigenständiger Vorfall behandelt werden: betroffene Systeme sofort inventarisieren, den Patch auf kritischen Servern beschleunigt einspielen und wo das nicht sofort möglich ist, mit Netzwerksegmentierung und zusätzlicher Überwachung Zeit verschaffen.

Der Vorfall zeigt auch ein grundsätzliches Problem: Wer Schwachstellen nur nach ihrem CVSS-Schweregrad sortiert, verfehlt den Punkt. Eine Lücke mit mittlerem Schweregrad, die aktiv ausgenutzt wird, ist gefährlicher als eine theoretisch kritische Lücke ohne bekannten Angriffscode. Moderne Priorisierung kombiniert Schweregrad mit Ausnutzungswahrscheinlichkeit, etwa über EPSS-Scores und Threat Intelligence Feeds.

Drei weitere Baustellen: FortiMail, BeyondTrust und FTAPI

Der Microsoft-Patchday kam nicht allein. Fast parallel meldete Fortinet eine kritische Schwachstelle in FortiMail, dem E-Mail-Security-Gateway des Herstellers. CVE-2026-104286 erhielt einen CVSS-Wert von 9,8 von 10 Punkten und wurde damit als kritisch eingestuft. Die zugehörige Sicherheitsmitteilung FG-IR-26-175 veröffentlichte Fortinet am 1. Oktober 2026. Technisch handelt es sich um eine Path-Traversal-Lücke ohne Authentifizierung: Über präparierte HTTP-Anfragen können Angreifer beliebige Dateien auf dem System schreiben und im schlimmsten Fall das E-Mail-Gateway vollständig kompromittieren. Betroffen sind laut Fortinet die Versionsreihen 8.0.0 bis 8.0.1, 7.6.0 bis 7.6.6, 7.4.0 bis 7.4.8 sowie 7.2.0 bis 7.2.9. Auch diese Lücke wird bereits aktiv ausgenutzt.

Am 19. Oktober 2026 wurde zusätzlich über eine aktiv ausgenutzte Zero-Day-Lücke in BeyondTrust Remote Support berichtet, einer Software, die viele IT-Dienstleister für Fernzugriffe auf Kundensysteme einsetzen. Nach aktuellem Berichtsstand soll die Lücke bereits Ende August 2026 von einer mutmaßlich China-nahen Gruppe namens Armory Castle ausgenutzt worden sein, fast zwei Monate vor der öffentlichen Bekanntgabe. Die Angreifer konnten demnach Remote-Support-Appliances übernehmen und sich von dort in verbundene Kundensysteme weiterbewegen. Dieses Supply-Chain-Muster macht Fernzugriffs-Software besonders attraktiv: Ein einziger Einbruch eröffnet potenziell Zugang zu Dutzenden nachgeschalteter Organisationen.

Den direkten DACH-Bezug liefert ein Fall aus München: Der Anbieter für sichere Dateiübertragung FTAPI bestätigte am 29. September 2026 einen Cyberangriff auf einen internen Server. Die Ransomware-Gruppe The Gentlemen reklamierte den Angriff für sich. FTAPI betreibt eine Plattform für verschlüsselten Datenaustausch, die nach eigenen Angaben von mehr als 2.000 Organisationen genutzt wird. Nach Unternehmensangaben waren Kernplattform, Kundensysteme und ausgetauschte Kundendaten nicht betroffen, und der laufende Betrieb lief weiter. Der Fall reiht sich dennoch in eine Serie von Angriffen auf Anbieter für sicheren Datenaustausch ein, die seit dem MOVEit-Vorfall der vergangenen Jahre als besonders lohnende Ziele gelten.

Was Unternehmen in der DACH-Region jetzt tun sollten

Angesichts von vier parallelen Vorfällen in drei Wochen stehen Sicherheitsteams vor der klassischen Priorisierungsfrage: Was wird zuerst gepatcht, wenn nicht alles gleichzeitig geht? Die Antwort folgt einer einfachen Logik. An erster Stelle stehen Lücken, die aktiv ausgenutzt werden und internetfacing sind: CVE-2026-96951 bei Microsoft und CVE-2026-104286 bei FortiMail. An zweiter Stelle folgen kritische Lücken in zentralen Infrastrukturkomponenten wie E-Mail-Gateways und Fernzugriffs-Tools, auch ohne bestätigte Ausnutzung.

Als Sofortmaßnahmen empfahlen Sicherheitsforscher für FortiMail unter anderem, die Identity-Based-Encryption-Funktion zu deaktivieren, wo das organisatorisch möglich ist, und den Zugriff auf die Management-Oberfläche strikt auf vertrauenswürdige Netze zu beschränken. Wer BeyondTrust oder vergleichbare Remote-Support-Lösungen einsetzt, sollte Zugriffsprotokolle seit Ende August 2026 prüfen. Das ist keine Kür, sondern eine naheliegende Sofortmaßnahme angesichts des Zeitraums, in dem die Lücke vermutlich schon ausgenutzt wurde.

Gleichzeitig zeigt der Monat, wie wichtig automatisierte Patch-Prozesse sind. Bei 1.411 neuen Einträgen reicht eine simple Liste nicht mehr. Unternehmen brauchen eine automatisierte Risikobewertung, die Schwachstellen nach tatsächlicher Ausnutzung und Erreichbarkeit vom Internet aus sortiert, statt nur nach CVSS-Grundwert. Für Unternehmen ohne strukturierte Vulnerability-Management-Strategie wird dieser Monat zum Weckruf: Automatisierung schlägt manuelle Listen, Priorisierung schlägt Masse.

Frequently Asked Questions

Was ist der Patch Tuesday und warum ist der Oktober 2026 ein Rekord?

Der Patch Tuesday ist der monatliche Termin, an dem Microsoft Sicherheitsupdates veröffentlicht, traditionell am zweiten Dienstag eines Monats. Der Oktober-Patchday 2026 vom 13. Oktober umfasst 1.411 geschlossene Schwachstellen und ist damit nach bisheriger Berichterstattung einer der umfangreichsten Patchdays des Jahres.

Welche Lücken müssen zuerst gepatcht werden?

Höchste Priorität haben Lücken, die aktiv ausgenutzt werden und vom Internet erreichbar sind. Das betrifft aktuell vor allem CVE-2026-96951 in Microsoft-Produkten und CVE-2026-104286 in FortiMail mit CVSS 9,8. Danach folgen kritische Lücken in zentralen Infrastrukturkomponenten wie E-Mail-Gateways und Fernzugriffs-Lösungen. Wer nur nach Schweregrad sortiert, übersieht Lücken mittlerer Einstufung, die bereits angegriffen werden.

Betrifft der FTAPI-Angriff auch Kunden des Münchner Anbieters?

Nach Angaben von FTAPI vom 29. September 2026 war ein interner Server von dem Angriff betroffen, den die Ransomware-Gruppe The Gentlemen für sich reklamierte. Kernplattform, Kundensysteme und die zwischen Kunden ausgetauschten Daten waren nach Unternehmensangaben nicht betroffen, und der laufende Betrieb wurde nicht unterbrochen. Eine genaue Zahl betroffener Kunden wurde bislang nicht bestätigt.