CVE-2026-96951: Aktive Windows-Lücke hebelt Mark-of-the-Web-Schutz aus
Veröffentlicht am: 14.10.2026 um 11:34 Uhr | Redaktion boerse-global.de
Angreifer nutzen eine neu entdeckte Schwachstelle in der Windows-Shell aktiv aus, um Sicherheitsmechanismen des Betriebssystems zu umgehen. Wie Microsoft mitteilte, hebelt die als CVE-2026-96951 geführte Befehlsinjektion (Command Injection, CWE-77) den sogenannten Mark-of-the-Web-Schutz aus. Der Softwarekonzern hat den Vorfall offiziell mit dem Status für eine festgestellte Ausnutzung versehen.
Hohe Bedrohungslage und betroffene Systeme
Die Schwachstelle wird im CVSS-3.1-Bewertungssystem mit einem Basiswert von 8.8 als hoch eingestuft (temporal 8.2, Vektor AV:N/AC:L/PR:N/UI:R). Microsoft selbst stuft das Risiko als wichtig ein, während die US-amerikanische National Vulnerability Database die Lücke derzeit noch prüft und noch keinen eigenen Wert vergeben hat.
Ein Angriff läuft nicht vollautomatisch ab: Ein erfolgreicher Exploit erfordert eine Interaktion des Opfers, etwa das Anklicken oder Öffnen einer speziell manipulierten Datei, eines Links oder eines E-Mail- bzw. Messenger-Anhangs. Es handelt sich somit nicht um ein Zero-Click-Szenario. Bislang liegt kein öffentlich zugänglicher Exploit-Code vor, und die Lücke wurde vorab nicht öffentlich publiziert.
Betroffen sind nahezu alle unterstützten Versionen von Windows für Clients und Server. Microsoft listet insgesamt 31 betroffene Produkte auf, darunter die Client-Versionen von Windows 10 (Versionen 1607 bis 22H2) und Windows 11 (Versionen 22H2 bis 26H2) sowie Windows Server von Version 2012 R2 bis 2025. Auch der Dienst Outlook.com (Service-Build 20260925.100) wird aufgeführt.
Allerdings erhält Windows 10 22H2 ohne kostenpflichtige erweiterte Sicherheitsupdates (ESU) keine Fehlerbehebung. Ebenso bleibt Windows Server 2012 ohne Patch, während Windows Server 2012 R2 noch abgesichert wird.
Wer sich angesichts kritischer Sicherheitslücken mit einem Umstieg auf das aktuellere Betriebssystem befasst, findet in diesem kostenlosen Expertenreport wertvolle Unterstützung. Der Ratgeber zeigt, wie der Wechsel ohne Risiko und Datenverlust gelingt. Jetzt das Windows 11 Starterpaket kostenlos sichern
Sicherheitsbehörden reagieren mit kurzer Frist
Die US-Cybersicherheitsbehörde CISA hat CVE-2026-96951 umgehend in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen. Für Bundesbehörden der Zivilverwaltung in den USA gilt gemäß der Richtlinie BOD 26-04 eine Frist bis zum 16. Oktober 2026 zur Umsetzung. Vor dem Einspielen der Aktualisierungen ist dabei eine forensische Triage verbindlich vorgeschrieben.
Zur Beteiligung von Ransomware-Akteuren führt die CISA den Status als unbekannt; Angaben zu Angreifern, Opfern oder konkrete Angriffsindikatoren wurden nicht veröffentlicht. Parallel dazu nahm die CISA eine weitere aktive Lücke (CVE-2026-104935) in Ivanti Connect Secure in den Katalog auf.
Im Rahmen des regulären Patch-Tages am 13. Oktober 2026 stellte Microsoft Sicherheitsupdates für eine Rekordzahl von 1.413 Schwachstellen bereit. Davon entfallen 1.102 auf Windows, 134 auf Office, 61 auf Entwicklerwerkzeuge, 36 auf SharePoint Server und 22 auf den SQL Server.
Da viele Nutzer bei der Installation von Systemaktualisierungen oder Upgrades verunsichert sind, bietet dieser Gratis-Report eine verständliche Schritt-für-Schritt-Anleitung. Erfahren Sie, wie Sie Windows 11 gefahrlos testen und typische Installationshürden meistern. Kostenlosen PDF-Einstiegsguide hier herunterladen
Unter den geschlossenen Lücken befinden sich mehr als 670 Rechteausweitungen, über 300 Schwachstellen zur Remote-Codeausführung sowie mehr als 70 kritische Einstufungen.
Zudem führte Microsoft sogenannte Risikokohorten ein. Neben CVE-2026-96951 als einzigem aktiv attackierten Zero-Day waren vorab zwei weitere Lücken bekannt: CVE-2026-108398 im .NET Framework sowie eine Denial-of-Service-Lücke (CVE-2026-92707) in MessagePack-CSharp.
Bereitstellung von Sicherheitsupdates
Die Behebung für CVE-2026-96951 erfolgt über die kumulativen Oktober-Updates. Für Windows 11 stehen unter anderem KB5127646 (Build 10.0.28000.3231) sowie KB5127648 (Builds 10.0.26100.9711, 10.0.26200.9711 und 10.0.26300.9711) bereit.
Ältere Versionen wie Windows 11 22H2 und 23H2 erhalten das Update KB5126653 (Build 10.0.22631.7652), während Windows 10 21H2 und 22H2 über KB5126657 (Builds 10.0.19044.7807 und 10.0.19045.7807) aktualisiert werden.
Für Server-Umgebungen decken KB5126646 (Server 2025), KB5126655 (Server 2022), KB5126651 (Server 2019 / Windows 10 1809), KB5126868 (Server 2016 / Windows 10 1607) und KB5126836 (Server 2012 R2) die Absicherung ab.
Bei der Überwachung von Systemen weist ein Verhalten auf Angriffe hin, bei dem Windows-Dienste oder Systemprozesse Befehlszeilenprogramme wie cmd.exe, powershell.exe oder wscript.exe mit extern gesteuerten Parametern und erhöhter Integrität ausführen. Ein nachträglicher Patch allein liefert jedoch keinen Aufschluss darüber, ob zuvor geöffnete Anhänge bereits zu einer Kompromittierung geführt haben.
