Liebe Medienpartner*innen,
die aktuellen Patch News sind wieder da – und damit auch die aktuelle technische Einordnung der Zero Day Initiative (ZDI) von TrendAI.
Dustin Childs, Head of Threat Awareness, analysiert die veröffentlichten Security Updates, ordnet besonders relevante Schwachstellen ein und zeigt, welche Patches aus technischer Sicht besondere Aufmerksamkeit verdienen. Die wichtigsten Erkenntnisse aus dem aktuellen Security Update Review haben wir im Folgenden kompakt für Sie zusammengefasst.
Bei Rückfragen, Interviewanfragen oder Interesse an einem tieferen technischen Austausch zu einzelnen Schwachstellen stehen wir gerne zur Verfügung.
Viele Grüße,
Ihr TrendAI Presseteam
###
Sicherheitsupdate-Review Oktober 2026: Erneuter Rekord-Patchday mit fast 1.415 Microsoft-CVEs und 174 Adobe-Zero-Days
Der Patchday im Oktober 2026 bricht erneut alle Rekorde: Microsoft liefert erstmals Patches für eine vierstellige Zahl an Schwachstellen aus, während Adobe 174 Sicherheitslücken in elf Bulletins schließt.
Adobe – Patches für Oktober 2026
Adobe veröffentlichte im Oktober 11 Bulletins mit insgesamt 174 CVEs für Produkte wie Adobe Experience Manager, ColdFusion, Commerce, Photoshop, FrameMaker, Substance 3D (Stager, Sampler, Designer), Dimension, Bridge und das Content Credentials SDK. Drei Bulletins erreichen dabei einen Höchstwert von CVSS 10.0.
Wichtigste Punkte:
- Keine der Oktober-Schwachstellen bei Adobe gilt aktuell als öffentlich bekannt oder aktiv ausgenutzt.
- Trotz offizieller Priorität 2 stuft ZDI den ColdFusion-Patch als dringendsten ein – das Schwachstellenprofil entspricht einem klassischen Pre-Auth-RCE-Muster auf einem internetseitig exponierten Serverprodukt.
Kritischste Adobe-Schwachstellen:
- APSB26-144 (Adobe ColdFusion) – 32 CVEs, CVSS 10.0, Kritisch, Priorität 2. Enthält u. a. Unrestricted File Upload, Code Injection, SSRF und fehlerhafte Autorisierung; Auswirkungen reichen von Codeausführung über Privilege Escalation bis zu Dateizugriff. Empfehlung: trotz Priorität 2 bevorzugt behandeln.
- APSB26-153 (Adobe Commerce) – 11 CVEs, CVSS 10.0, Kritisch, Priorität 2. Hochwertiges Ziel, folgt auf den im Vormonat aktiv ausgenutzten Commerce-Zero-Day; Template-Engine-Injection und fehlerhafte Autorisierung ermöglichen Codeausführung und Privilege Escalation.
- APSB26-152 (Adobe Experience Manager) – 33 CVEs, CVSS 10.0, Kritisch, Priorität 2. Breitester der drei Top-Patches; neben umfangreichem XSS-Volumen auch ernste serverseitige Bugs wie OS Command Injection, SQL Injection, XXE und Path Traversal.
Microsoft – Patches für Oktober 2026
Microsoft veröffentlicht im Oktober ein Rekordvolumen: 1.415 neue CVEs – erstmals eine vierstellige Zahl und damit mehr als in jedem bisherigen Gesamtjahr von Microsoft. Betroffen sind u. a. Windows und Windows-Komponenten, Office, Entwicklertools/.NET, SharePoint, der Linux-Kernel, Skype for Business/Lync, SQL Server, Dynamics, Azure-Dienste und Exchange Server. Parallel führt Microsoft testweise sogenannte „Risk Cohorts“ zur Gruppierung von Schwachstellen ein.
Wichtigste Punkte:
- Nur eine Schwachstelle gilt als aktiv in the wild ausgenutzt: CVE-2026-96951 (Windows Shell).
- Zwei Schwachstellen sind öffentlich bekannt: CVE-2026-108398 (.NET Framework) und CVE-2026-92707 (MessagePack-CSharp, Drittanbieter-CVE).
- ZDI stuft 59 der Oktober-CVEs als „wormable“ ein (keine Authentifizierung, keine Nutzerinteraktion erforderlich) – verteilt u. a. auf DHCP-Server, Network Policy Server, Windows Error Reporting und Remote Desktop Gateway.
Kritischste Microsoft-Schwachstellen:
- CVE-2026-96951 – Windows Shell Security Feature Bypass Vulnerability, CVSS 8.8 — ⚠️ Aktiv in the wild ausgenutzt. Umgeht Mark-of-the-Web-Schutzmechanismen; sollte umgehend getestet und ausgerollt werden.
- CVE-2026-102866 – Microsoft Office SharePoint Elevation of Privilege Vulnerability, CVSS 8.1 — einzige kritisch eingestufte und von einem nicht authentifizierten Angreifer ausnutzbare SharePoint-Schwachstelle des Monats; fehlerhafte Prüfung kryptografischer Signaturen erlaubt Identitätsübernahme bei Kenntnis eines gültigen Proof-Tokens.
- CVE-2026-65674 – Microsoft SQL Server Remote Code Execution Vulnerability, CVSS 8.8 — höchster CVSS-Wert unter den SQL-Server-Bugs des Monats; Deserialisierung nicht vertrauenswürdiger Daten ermöglicht authentifizierten Angreifern Codeausführung ohne Nutzerinteraktion. Priorität für direkt mit dem Internet verbundene SQL-Server.
- CVE-2026-70571 – Microsoft Exchange Server Remote Code Execution Vulnerability, CVSS 8.1 — technisch wormable, laut Microsoft jedoch nur mit tiefem Umgebungswissen und geringer Erfolgswahrscheinlichkeit ausnutzbar.
- CVE-2026-108398 – .NET Framework Security Feature Bypass Vulnerability, CVSS 8.8 — ⚠️ Öffentlich bekannt. Ermöglicht die Umgehung von Windows Defender Application Control (WDAC); bislang nicht als aktiv ausgenutzt gemeldet.
Ausblick: Der nächste Patch Tuesday findet am 10. November 2026 statt.
Zum vollständigen Artikel: https://www.zerodayinitiative.com/blog/2026/10/13/the-october-2026-security-update-review
Diese Zusammenfassung wurde mithilfe von KI automatisiert erstellt und anschließend geprüft.