Oktober-Patchday 2026: Über 1400 Lücken, zwei Windows-Versionen EOL

Der Oktober-Patchday 2026 hat zwei Seiten, und die zweite wird gern übersehen: Microsoft hat nach der Ausgangsmeldung mehr als 1400 Sicherheitslücken in Windows, Office & Co. geschlossen und spricht von bereits laufenden Attacken. Zeitgleich endet am 13. Oktober 2026 der Support für Windows 11 24H2 in den Editionen Home und Pro sowie für Windows 10 Enterprise LTSB 2016. Für alle übrigen unterstützten Windows-Versionen steht das Sicherheitsupdate laut Windows-Nachrichtencenter von Microsoft bereit – Stand 13.10.2026 – und soll umgehend installiert werden.

Betroffen ist damit praktisch jedes Windows-System im Unternehmensnetz, dazu Office. Auffällig: Die Meldung bleibt bei den angegriffenen Zielen vage. Sie spricht von „verschiedenen Windows-Versionen", nennt aber weder Versionen noch Lücken. Wer jetzt priorisieren muss, hat aus dieser Angabe allein keine belastbare Grundlage – das ist ein Qualitätsmangel in der Kommunikation, nicht im Patch selbst.

Oktober-Patchday 2026: Was belegt ist – und was nicht

Bestätigt ist das Update selbst. Microsofts Nachrichtencenter listet es für alle unterstützten Windows-Versionen und empfiehlt die sofortige Installation. Ungewöhnlich ist die Menge: „mehr als 1400" liegt weit über dem, was in ruhigen Monaten zusammenkommt. Ein August-Update schloss nach einer Übersicht von t-online 421 Sicherheitslücken. Die Differenz ist erklärbar durch Sammel-Patches und konsolidierte Produktzweige, sie ist aber auch eine Warnung: Bei solchen Volumina sinkt die Chance, dass jedes einzelne System zeitnah neu gestartet wird.

Die Zahl selbst bleibt vorläufig eine Einzelangabe. Sie stammt aus der Ausgangsmeldung, deren Volltext im vorliegenden Auszug nicht enthalten ist. Die offizielle CVE-Auswertung im Security Update Guide des Microsoft Security Response Center ließ sich nicht auslesen, weil die Anwendung ihre Inhalte erst im Browser nachlädt. Administratoren sollten die konkreten KB- und CVE-Nummern daher direkt im Update Guide oder über die eigene Patch-Management-Lösung gegenprüfen, statt sich auf die Sammelzahl zu verlassen.

End-of-Life: Windows 11 24H2 und LTSB 2016 fallen aus der Versorgung

Der eigentliche Handlungsdruck entsteht nicht durch eine einzelne Lücke, sondern durch das Support-Ende. Das Oktober-2026-Update ist das letzte für Windows 11, Version 24H2 (Home und Pro) sowie für Windows 10 Enterprise LTSB 2016. Danach erhalten diese Editionen keine Sicherheitsupdates mehr – jede Lücke, die ab November bekannt wird, bleibt auf ihnen offen. Anders sieht es für Windows 11 24H2 Enterprise und Education aus: Diese Editionen werden bis zum 12. Oktober 2027 unterstützt.

Microsoft empfiehlt als Upgrade-Pfad Windows 11 26H2 oder 25H2; für Windows 10 Enterprise LTSB 2016 führt der Weg auf Windows 11 Enterprise LTSC 2024. Für Organisationen steht zudem das ESU-Programm bereit. Wer beides nicht stemmen kann, sollte die betroffenen Systeme mindestens segmentieren und den Zugriff auf das Nötigste reduzieren – ein Ersatz für Patches ist das nicht.

Zero-Day-Lücken: Belegt ist der September, nicht der Oktober

Hier ist Präzision nötig, weil in Patchday-Runden regelmäßig Zahlen und Monate durcheinandergehen. CVE-IDs für aktiv ausgenutzte Lücken liefert in den vorliegenden Quellen nur der September-Patchday: Nach Angaben von DsiN / sicher-im-netz.de handelte es sich um zwei Zero-Days in Windows – CVE-2026-81963 im Windows Update Stack und CVE-2026-85880 in der Windows Advanced Local Procedure Call (ALPC), beide ermöglichen unter bestimmten Voraussetzungen eine Rechteausweitung.

Die schwerwiegendste dort genannte Schwachstelle war CVE-2026-69525 in den Windows Remote Desktop Services mit einem CVSS-Score von 9,8/10. Sie ist aus dem Netzwerk von nicht authentifizierten Angreifern ohne Nutzerinteraktion ausnutzbar – eine aktive Ausnutzung war zum damaligen Zeitpunkt nicht bekannt. Diese CVE gehört ausdrücklich zum September-Patchday und darf nicht als Oktober-Lücke gelesen werden. Ob und welche Lücken im Oktober aktiv ausgenutzt werden, ist aus den Quellen nicht belegt.

Härtung und behobene Probleme: ReFS, Administratorschutz, VPN

Das Oktober-Update ist nicht nur ein Sicherheits-, sondern auch ein Funktions- und Härtungsrelease. Das Update für Windows 11 26H2 enthält Verbesserungen aus KB5124008 (veröffentlicht am 8. September 2026). Behoben wurden unter anderem Always-On-VPN-Verbindungen, die im Verbindungsstatus hängen bleiben, ein Windows-Explorer-Startfehler mit schwarzem Bildschirm in Azure-Virtual-Desktop- und FSLogix-Umgebungen sowie Probleme mit mehrstufigen virtuellen Datenträgern bei Direkte Speicherplätze.

Bei der Härtung fällt eine zweiphasige Änderung auf: Für ReFS-Volumes auf externen Speichergeräten kommen neue Überwachungs- und optionale Richtlinienkontrollen – im Oktober 2026 zunächst im Audit-Modus, ab Januar 2027 dann erzwungen. Wer ReFS auf Wechselmedien einsetzt, sollte die Überwachungsphase aktiv auswerten, bevor die Erzwingung greift. Zusätzlich aktiviert das Oktober-Update den Administratorschutz innerhalb der Windows-11-Security-Baseline standardmäßig – eine Änderung, die in Tests auf Anwendungsfälle mit erhöhten Rechten treffen kann.

Handlungsempfehlung: Erst patchen, dann upgraden

Die Reihenfolge ist klar: Zuerst das Oktober-Update auf allen unterstützten Systemen installieren und neu starten, dann die EOL-Systeme bearbeiten. Für Windows 11 24H2 Home/Pro und Windows 10 Enterprise LTSB 2016 gibt es keinen Patch mehr – hier hilft nur der Wechsel auf 26H2, 25H2 oder Windows 11 Enterprise LTSC 2024 beziehungsweise ESU für Organisationen. Wer die Frist verstreichen lässt, betreibt ab dem 14. Oktober bekannte und künftige Lücken ungepatcht im Netz.

Source Notes