CVE-2026-96951: Windows-Shell-Umgehung von Mark of the Web wird ausgenutzt - Oktober-Update einspielen

Microsoft hat am 13. Oktober 2026 mit den monatlichen Sicherheitsupdates eine Lücke in der Windows Shell geschlossen, die bereits für Angriffe genutzt wird. Die Lücke trägt die Kennung CVE-2026-96951, Microsoft bewertet sie mit CVSS 8.8 als „Important”. Ein Angreifer schickt eine präparierte Datei per E-Mail oder Instant Message; öffnet das Opfer sie, greift der Schutz durch Mark of the Web (MotW) nicht. Microsoft meldet die Ausnutzung als erkannt, die US-Behörde CISA hat die Lücke am selben Tag in ihren Katalog ausgenutzter Schwachstellen (KEV) aufgenommen. Updates stehen für alle aufgeführten Windows-Versionen bereit; einen Workaround nennt Microsoft nicht.

Das Wichtigste in Kürze

Betroffene Versionen und Updates

Die Angaben stammen aus dem Security Update Guide von Microsoft. Betroffen ist jeweils jeder Build unterhalb des genannten Builds.

Für Windows 10 22H2 nennt der Security Update Guide als Build 10.0.19044.7807. Die KB-Seite von Microsoft führt KB5126657 dagegen mit Build 19045.7807 für 22H2 und 19044.7807 für 21H2; die Tabelle folgt der KB-Seite. Windows 10 22H2 und Windows Server 2012 R2 erscheinen im Security Update Guide nur als ESU-Einträge. Geräte ohne Extended Security Updates erhalten das Update nicht und bleiben verwundbar.

Zu Outlook.com nennt Microsoft ausser der Versionsnummer 20260925.100 und dem Verweis auf die Release Notes keine weiteren Angaben.

Ob das Update installiert ist, zeigt Get-HotFix lokal oder für mehrere Rechner:

Get-HotFix -Id KB5126655 -ComputerName srv01.example.com, srv02.example.com

Liefert der Befehl für einen Rechner kein Ergebnis, fehlt das Update dort. Get-HotFix liest die WMI-Klasse Win32_QuickFixEngineering und zeigt nur Updates, die über Component Based Servicing installiert wurden.

Was über die Ausnutzung bekannt ist

Microsoft beschreibt im FAQ des Advisorys ein Angriffsszenario per E-Mail oder Instant Message: Der Angreifer sendet dem Opfer eine präparierte Datei. Er kann das Opfer nicht zwingen, die Datei zu öffnen, und muss es dazu bringen, einen Link anzuklicken oder einen Anhang zu öffnen. Die Folge ist eine Umgehung von Mark of the Web. Mark of the Web ist die Kennzeichnung, die Windows an Dateien aus dem Internet anhängt; laut der Analyse von CrowdStrike lösen darauf unter anderem die geschützte Ansicht in Office und die SmartScreen-Warnung bei heruntergeladenen Programmen aus.

Microsoft stuft die Lücke als ausgenutzt und als vor dem Patchday nicht öffentlich bekannt ein. Laut Tenable ist es die dritte in diesem Jahr ausgenutzte Lücke in der Windows Shell, nach CVE-2026-21510 (Februar) und CVE-2026-32202 (April).

Stand 14. Oktober 2026 fehlen öffentliche Angaben zu Angreifern, Kampagnen, Zielen, verwendeten Dateitypen und Indikatoren. CISA führt den Einsatz durch Ransomware-Gruppen als „Unknown”.

Sofortmassnahmen

1. Update einspielen: das kumulative Oktober-Update aus der Tabelle auf allen Windows-Clients und -Servern installieren und neu starten. Microsoft verlangt für alle Einträge einen Neustart. Clients mit E-Mail- und Chat-Zugang sollten zuerst an die Reihe kommen, weil das beschriebene Angriffsszenario dort ansetzt.

2. Installationsstand prüfen: mit Get-HotFix oder der eigenen Update-Verwaltung nachweisen, dass das Update auf allen Geräten installiert ist, und Ausreisser nachziehen.

3. Systeme ohne Update behandeln: Windows 10 22H2 und Windows Server 2012 R2 ohne ESU erhalten das Update nicht. Diese Geräte in das ESU-Programm aufnehmen, auf eine unterstützte Version heben oder vom Mail- und Chat-Verkehr trennen.

4. Exponierung reduzieren: Da Microsoft keinen Workaround nennt, bleibt bis zum Update nur, die Zustellung präparierter Dateien zu erschweren. Die Filterung von Anhängen auf dem Mail-Gateway beziehungsweise in Exchange Online Protection und die Prüfung von Links verringern die Zahl der Dateien, die überhaupt beim Benutzer ankommen. Benutzer sollten informiert werden, dass derzeit Angriffe mit präparierten Anhängen laufen.

Prüfung auf Kompromittierung

Microsoft, CISA und die gesichteten Analysen nennen Stand 14. Oktober 2026 keine Indikatoren (Dateinamen, Hashes, IP-Adressen oder Domains). Eine gezielte Suche nach dieser Lücke ist damit nicht möglich. CISA verlangt von US-Bundesbehörden neben dem Update eine forensische Triage nach den Vorgaben der Richtlinie BOD 26-04.

Das Update schliesst die Lücke, macht aber eine bereits ausgeführte Schadsoftware nicht rückgängig. Sinnvoll sind deshalb:

1. Meldungen der Endpoint-Sicherheitslösung (etwa Microsoft Defender for Endpoint) der letzten Wochen auf Dateien prüfen, die aus E-Mail-Anhängen, Chat-Nachrichten oder Downloads gestartet wurden.

2. Mail-Gateway- und Quarantäne-Logs auf Anhänge und Links prüfen, die Benutzer gemeldet oder trotz Warnung freigegeben haben.

3. Auffällige Geräte isolieren und vor einer Bereinigung Logs sichern, damit eine forensische Auswertung möglich bleibt.

4. Advisory beobachten: Ergänzt Microsoft das Advisory oder veröffentlicht ein Sicherheitsunternehmen Indikatoren, die Suche damit wiederholen.

Einordnung

Die Windows Shell ist Bestandteil jeder Windows-Installation; CrowdStrike zählt deshalb praktisch die gesamte Windows-Basis zu den betroffenen Systemen. Das Angriffsszenario setzt beim Benutzer an: Ein Anhang oder Link per E-Mail oder Chat genügt, wenn das Opfer ihn öffnet. Mark of the Web ist die Grundlage mehrerer Schutzfunktionen von Windows und Office; eine Umgehung entfernt Warnungen, die Benutzer sonst vor dem Öffnen einer Datei sehen. Eine Meldung des Nationalen Zentrums für Cybersicherheit (NCSC) oder anderer europäischer CERTs zu CVE-2026-96951 war bis zum 14. Oktober 2026 nicht auffindbar.