Windows-Lücke CVE-2026-96951: Update jetzt prüfen

Am 13. Oktober hat Microsoft seinen Oktober-Patchday veröffentlicht. Ein Eintrag darin fällt aus der Menge heraus: CVE-2026-96951 steckt in der Windows Shell, also in dem Teil von Windows, mit dem Sie Dateien öffnen. Die Lücke umgeht den Schutz Mark of the Web (MOTW) (S1). Am selben Tag hat die US-Behörde CISA sie in ihren Katalog bekannter, ausgenutzter Schwachstellen aufgenommen (S3). Die eigentliche Frage ist deshalb nicht, ob es die Lücke gibt, sondern was davon belegt ist und was nicht. Genau das schauen wir uns an.

Was Microsoft selbst schreibt

Microsoft führt die Lücke als „Windows Shell Security Feature Bypass Vulnerability“. Eingestuft ist sie als „Important“, der CVSS-Basiswert liegt bei 8.8 (S1). Der NIST-Eintrag zeigt denselben Wert. NIST übernimmt ihn jedoch von Microsoft, eine unabhängige Zweitprüfung ist das also nicht (S2).

Außerdem markiert Microsoft die Lücke als ausgenutzt („Exploitation Detected“) und vermerkt, dass sie vor dem Update nicht öffentlich bekannt war (S1).

Wie der Angriff abläuft

Die FAQ von Microsoft ist ziemlich nüchtern. Ein Angreifer schickt eine präparierte Datei, etwa per E-Mail oder Chat (S1). Der wichtigste Satz steht aber am Ende: Der Angreifer kann niemanden zwingen, fremde Inhalte anzusehen. Er muss das Opfer dazu bringen, selbst etwas zu tun, zum Beispiel einen Link anzuklicken oder einen Anhang zu öffnen (S1).

Das heißt für den Alltag: Ein Warnhinweis beim Öffnen ist kein Freifahrtschein, wenn der Schutz dahinter umgangen werden kann. Wie groß das Risiko bei Ihnen ist, hängt davon ab, welche Dateien bei Ihnen ankommen. Das lässt sich aus den Quellen nicht ableiten. Das ist unsere Einordnung, keine Aussage von Microsoft.

Was CISA dazu festhält

CISA hat die Lücke am 13.10.2026 aufgenommen und eine Frist bis zum 16.10.2026 gesetzt (S3). In der Maßnahmenbeschreibung verweist die Behörde auf BOD 26-04 zur risikobasierten Priorisierung von Sicherheitsupdates (S3). Was diese Frist für Privatleute bedeutet, bewerten wir hier nicht.

Der Zeitablauf in Kürze

• 13.10.2026: Microsoft veröffentlicht das Update (S1). NIST führt den Eintrag mit diesem Datum (S2). CISA nimmt die Lücke in den Katalog auf (S3).
• 16.10.2026: Frist im CISA-Katalog (S3).
• 26.10.2026: Microsoft ergänzt die Revision um Edge (S1).
• 29.10.2026: Letzte Änderung des NIST-Datensatzes, Status „Analyzed“ (S2).

Was der CVSS-Wert verrät

Der Vektor lautet bei Microsoft „CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C“ (S1). Die Kürzel lesen sich nach dem CVSS-3.1-Standard so: Angriff übers Netz, geringe Komplexität, keine Rechte nötig, Nutzerinteraktion nötig, hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Nutzerinteraktion passt zur FAQ. Die Lesart stammt aus dem Standard selbst und haben wir nicht eigens aus einer Quelle abgerufen.

Welches Update wofür gilt

Microsofts CVRF-Dokument für Oktober 2026 ordnet jeder Windows-Version ein Update zu (S1). Die Liste ist lang, deshalb hier die Zuordnung in Kurzform:

• Windows 11 24H2, 25H2 und 26H2: KB5127648. Dafür führt Microsoft einen Eintrag „Known Issue“.
• Windows 11 26H1: KB5127646, ebenfalls mit „Known Issue“.
• Windows 11 23H2: KB5126653.
• Windows 10 21H2 und 22H2: KB5126657, mit „Known Issue“.
• Windows 10 Version 1607 und Windows Server 2016: KB5126868, mit „Known Issue“.
• Windows 10 Version 1809 und Windows Server 2019: KB5126651, mit „Known Issue“.
• Windows Server 2012 R2: KB5126836.
• Windows Server 2022: KB5126655, mit „Known Issue“.
• Windows Server 2025: KB5126646, mit „Known Issue“.

Seit der Revision vom 26.10.2026 gehört laut Microsoft auch Edge zur Tabelle der Sicherheitsupdates (S1). Was hinter den „Known Issue“-Einträgen steckt, haben wir nicht geprüft. Schauen Sie vor einem breiten Rollout im Microsoft Update Guide nach, ob ein Problem für Ihre Geräte beschrieben ist.

So prüfen Sie es in fünf Schritten

1. Windows-Version nachsehen: Einstellungen, System, Info.
2. Windows Update öffnen, alle verfügbaren Updates installieren und neu starten.
3. Im Updateverlauf schauen, ob die KB-Nummer aus der Liste oben auftaucht. Andere Editionen oder Sonderfälle klärt der Microsoft Update Guide.
4. Microsoft Edge ebenfalls aktualisieren.
5. Den Warnhinweis nicht als letzte Verteidigungslinie sehen. Anhänge, die Sie nicht erwartet haben, öffnen Sie lieber nicht, auch wenn sie von einem bekannten Absender kommen.

Was wir nicht wissen

Ob und wo die Lücke tatsächlich genutzt wurde, steht in den Primärquellen nicht. Auch Zahlen zu betroffenen Geräten gibt es dort nicht. Eine Sekundärquelle behauptet, Microsoft habe die Ausnutzung schon vor dem Patch bestätigt. Das können wir nicht belegen, deshalb schreiben wir es nicht. Die unterschiedlichen Angaben zur Gesamtzahl der Lücken im Oktober lassen wir ebenfalls weg.

Fazit

Die Lücke ist ernst genug, um heute den Update-Stand zu prüfen. Mehr Aufregung braucht es nicht. Der Weg ist Windows Update, und die KB-Nummer zeigt Ihnen, ob Ihr Rechner durch ist.

Quellen und Prüfstatus

• (S1) Microsoft Security Response Center: Security Update Guide, CVE-2026-96951. Abruf am 31.10.2026 über die sug/v2.0-API und das CVRF-Dokument 2026-Oct (HTML-Seite nicht neu geladen). https://msrc.microsoft.com/update-guide/en-US/vulnerability/CVE-2026-96951. Prüfstatus: verifiziert.
• (S2) NIST National Vulnerability Database, CVE-2026-96951. Abruf am 31.10.2026 über die NVD-API (HTML-Seite nicht neu geladen). https://nvd.nist.gov/vuln/detail/CVE-2026-96951. Prüfstatus: verifiziert (Status und Datum). Der CVSS-Wert stammt von Microsoft.
• (S3) CISA: Known Exploited Vulnerabilities Catalog, Katalogversion 2026.10.30. Abruf am 31.10.2026 über das KEV-JSON-Feed. https://www.cisa.gov/known-exploited-vulnerabilities-catalog. Prüfstatus: verifiziert.
• Drei unabhängige Herausgeber: Microsoft, NIST, CISA. Sekundärquellen (Security Affairs, datawater, hagel IT, kjello) haben wir für keine Kernaussage verwendet.