News Microsoft Oktober Patchday: Neuer Rekord mit 1.413 geschlossenen Sicherheitslücken

[Fraggil]

Man kann MS durchaus vieles vorwerfen, unter anderem auch die Stiefmütterliche Behandlung der Entwicklung von/unter Windows.
Aber im Zusammenhang mit Sicherheitslücken ist das halt irgendwie ziemlich haltlos. Hast Du eine Ahnung, wie das ist, einen seit 30+ Jahren (Windows NT erschien 1993) gewachsen Programmcode zu durchforsten?

Muss man halt mal alles aktualisieren und auf Stand bringen. Ist sich MS 30 Jahre zu schade dafür gewesen?

 

[Simonsworld]

Am wichtigsten ist natürlich (sowohl für MS als auch den Nutzer) dass diese Lücken möglichst schnell geschlossen werden. Das Missbrauchspotenzial ist bei rund 1 Mrd. Win 11 Systemen sehr hoch.

Abseits davon bleiben für mich zwei Dinge relevant: Wie sehr treibt MS die Entwicklung zu einem Agentic OS voran und wie stark kann der Hardwarehunger reduziert werden?

 

[Legalev]

das ist heftig.. hierfür ist die KI sehr gut geeignet und auf anderen seite sieht man wie lahmarschig MS etwas programmiert. sie geben sich selbst also die ohrfeige

du kannst bestimmt das Windows neu VIEL besser ohne Fehler, Sicherheitslücken ect. schreiben.
Kannst dich und viele andere aus dem Forum ja bei MS melden als Superhechte OHNE Fehler

 

[MaverickM]

Muss man halt mal alles aktualisieren und auf Stand bringen.

Ich glaube, Du verstehst nicht, was das für eine Sisyphus-Aufgabe das ist.

 

[C0nn3r]

Hast Du eine Ahnung, wie das ist, einen seit 30+ Jahren (Windows NT erschien 1993) gewachsen Programmcode zu durchforsten?

Sorry, aber wessen Problem ist das?
Wäre der Code gepflegt, müsste nicht 30 Jahre alter Code durchforstet werden.
Was soll das überhaupt für ein Argument sein, für oder gegen Microsoft?
Das klingt wie eine nachgeplapperte Standardfloskel. Angefangen bei "Hast du eine Ahnung?"

 

[Darkman.X]

Ich frage mich, ob das echte Sicherheitslücken sind.

Es gab in der Vergangenheit diverse News zu Open Source-Software, die ein Bug-Bounty-Programm hatten und sehr viele Meldungen von KI erhielten. Ein Großteil davon war aber keine Bugs/Lücken waren, sondern KI-Blödsinn.

 

[l33ch0r]

von den Millionen vorhandenen? LOL dabei war es doch angeblich immer ein sooooo sicheres Betriebssystem

Da musst du bitte differenzieren. Ich glaube die Aussage war, dass Windows 10 das sicherste Windows aller Zeiten ist.
Diese Aussage erlaubt eine Menge Interpretationsspielraum.

 

[foofoobar]

Na da... Updateinstallation auf den Servern mach ich dann nächste Woche. Erstmal die Einschlagsmeldungen der nächsten Woche abwarten, bevor mir die Updates hier die halbe Firma zerschießen.

Sehr gute Idee seine Firma einem derartigen Profi-OS anzuvertrauen.

 

[incurable]

Ich frage mich, ob das echte Sicherheitslücken sind.

Ja, sind es.

Niemand beantragt CVE-Nummern für halluzinierte Probleme.

 

[MaverickM]

Wäre der Code gepflegt, müsste nicht 30 Jahre alter Code durchforstet werden.

Das ist Quatsch. Wenn Versionen aufeinander aufbauen ist der Code natürlich teils Jahre oder Jahrzente alt, sofern nicht irgendwann komplett von Null angefangen wurde.

Was soll das überhaupt für ein Argument sein, für oder gegen Microsoft?

Habe ich dergleichen behauptet? Das Problem haben alle Projekte mit Langjähriger Codebasis.

 

[0xffffffff]

Von Apple gibt es in dieser Zahlen-Dimension nichts Vergleichbares.

1. Windows schleppt teils~ 30 Jahre alten Legacy-Kram mit sich herum während Apple kein Problem damit hat alte Zöpfe abzuschneiden und Hardware/Software von vor 10 Jahren als Vintage zu deklarieren.
2. Windows ist noch das Brot & Butter OS, da wird sich drauf gestürzt weil es viel zu finden (siehe 1) gibt, es quasi für jedermann zugänglich ist und es sich für vielerlei Akteure "lohnt".
3. Ich gehe davon aus, dass Apple auch unter der Haube viele Fehler und Sicherheitslöcken behebt, die nicht in den offiziellen Patchnotes auftauchen. In den offiziellen Security-Release-Notes tauchen eigentlich nur Fehler mit offizeller CVE auf und das sind teils auch nicht wenige.

 

[fdsonne]

Von Apple gibt es in dieser Zahlen-Dimension nichts Vergleichbares.

Haben die einfach die besseren (menschlichen) Programmierer oder sind die noch nicht so weit beim KI-Schwachstellenscanning?

Apple ist auch nicht besser oder schlechter unterwegs. Das Ding ist nur, es wird deutlich weniger medial zelebriert. Findest du hier bspw. zyklische News die die Zahlen immer wieder aufs neue abwertend medial breit treten? Ich sehe das nur bei Microsoft... Aber es klickt sich natürlich beim höchsten Anteil der Client OS auch gut.

https://pasqualepillitteri.it/de/news/16862/apple-273-sicherheitsluecken-monero
Nur auf die schnelle von Google gefunden.

Die CVE-2026-65400 ist echt nicht ganz ohne. Aber wie auch dort im Artikel steht, die gelebte Praxis ist bei den nicht Windows OSen etwas anders. Erst im Nachgang kommen Details ans Licht.

"Die aktive Ausnutzung meldete das Netherlands National Cyber Security Centre (NCSC-NL, die niederländische Behörde für Cybersicherheit), das zwischen dem 7. und 12. August laufende Angriffe auf jeden einzelnen von ihm analysierten Mac mit offenem Port 5900 dokumentierte. In jedem untersuchten Fall hatten die Angreifer Root-Zugriff erlangt und einen Monero-Miner installiert, die bei Cryptojacking (der unautorisierten Nutzung fremder Rechenleistung zum Mining von Kryptowährungen) bevorzugte Kryptowährung, weil sie schwerer nachzuverfolgen ist als Bitcoin.

Die Reaktion der CISA erfolgte gestaffelt: Am 14. August hob die Behörde den Schweregrad der Lücke von 7,1 auf 9,8 von 10 an (die Höchststufe, "Kritisch"), am 18. August nahm sie die Lücke in den Katalog Known Exploited Vulnerabilities (KEV, die offizielle Liste aktiv ausgenutzter Sicherheitslücken) auf und setzte für US-Bundesbehörden eine Behebungsfrist bis zum 21. August."
Aua würde ich meinen? Hierzulande mit den meist eher dürftigen Internet Anschlüssen nicht das große Problem. Selten sind die PCs direkt 1:1.am Internet ohne Firewall dazwischen erreichbar. Aber andernorts? Public WLAN? 4/5G Einwahl? IPv6 geroutet, ... Dagegen sind der Großteil der über 1000 Microsoft Lücken effektiv nicht der Rede wert.

Ergänzung (14. Oktober 2026)

Sehr gute Idee seine Firma einem derartigen Profi-OS anzuvertrauen.

Wie ließt du aus seinem Beitrag denn heraus, dass die Firma einem derartigen OS anvertraut wurde?

Ich hab übrigens heute knapp 50 der Profi-OS Server problemfrei patchen lassen. Wie jeden Monat, bis auf ganz wenige Ausnahmen, wo man als "Profi" international gängige und gefragte Standard Prozesse anwendet und seine Testumgebung vor einem produktiven Rollout von Patches bemüht. Mir ist rätselhaft wie das immer so emotional gehandhabt wird.

 

[xXFiskXx]

Wie passen eigentlich über 50 Millionen Zeilen Code in das Kontextfenster der KI? Wenn man immer nur Teile analysieren lässt und dort etwas ändert, kann es doch an anderen Stellen wieder Funktionen kaputt machen.

 

[Caramon2]

Bevor sich jemand wegen der Anzahl der CVEs wundert: Microsoft nennt sowohl die Zahl 1.413 als auch 1.414 in der Tabelle.🙃 Ich seh gerade nicht, wie die Abweichung zustande kommt.

ich bin hierauf gestoßen:

As of October 14, 2026, Senserva tracks 13,703 Microsoft and CISA KEV CVEs

https://senserva.com/microsoft-cve-vulnerability-management.html

Bedeutet das, dass dieser "Rekordwert" gerade mal knapp 10% sind?

1 mehr oder weniger macht dann 0,007 % aus. - Erinnert mich an den FDIV-Bug.

 

[fdsonne]

1. Windows schleppt teils~ 30 Jahre alten Legacy-Kram mit sich herum während Apple kein Problem damit hat alte Zöpfe abzuschneiden und Hardware/Software von vor 10 Jahren als Vintage zu deklarieren.

Das ist meiner Ansicht nach nicht das Kernproblem. Der alte Kram mag im Kern existieren, aber wenn man sich das in Summe mal ansieht, nimm ein Windows NT4 oder 2000 in der Basis, selbst wenn du 100% des Codes von damals heute noch verwenden würdest, es wäre verglichen zum hier und heute einfach nur ein Bruchteil des gesmt Codes. Zudem die Masse der Lücken doch Dinge betrifft, die vor 30 Jahren noch gar nicht existiert haben. Der alte Code kann bestenfalls nur teilweise das Problem sein.

3. Ich gehe davon aus, dass Apple auch unter der Haube viele Fehler und Sicherheitslöcken behebt, die nicht in den offiziellen Patchnotes auftauchen. In den offiziellen Security-Release-Notes tauchen eigentlich nur Fehler mit offizeller CVE auf und das sind teils auch nicht wenige.

Die Zählweise unterscheidet sich halt auch. Wenn der gemeine Otto an Windows denkt, denkt er an das, was er kennt. Sein Windows Cluent OS auf dem PC. Viele der genannten und gefixten Lücken betreffen aber Programmteile, mit denen hat der gemeine Otto exakt gar nix am Hut. Bspw. Server Dienste der Server OS auf gleicher Code Basis wie dem Client Windows. Bei MS läuft das alles unter Windows. Der Link im Artikel zu Zero Day Initiative nennt schon an die 100 Fixes für DNS, DHCP und ADFS Server Dienste. Dann noch RDS und andere weitere Teile. Mir ist die Zeit zu schade um die Tabelle von Microsoft komplett auseinander zu nehmen und zu klassifizieren, was Kern Windows und was Zusatz Dienste sind. Der Apple Vergleich ist dahingehend schwierig, weil es kein Äquivalent dafür gibt. MacOS ist primär bis ausschließlich ein Client OS. Programmcode, der nicht existiert, kann auch keine Fixes erhalten. Bei Linux gilt btw. das gleiche. Der Artikel nennt 94 CVEs für den Kernel und Win32k Subsystem Part. Das sind wenig im Vergleich. Viel Beikram erzeugt aber halt auch viel problematischen Code.

Wenn man immer nur Teile analysieren lässt und dort etwas ändert, kann es doch an anderen Stellen wieder Funktionen kaputt machen.

Idealerweise stellt man sicher, dass die Schnittstellen sich gleich verhalten. Was dahinter passiert, ist für die Dienste Interoperabilität idR. irrelevant.

 

[ChrFr]

Zusätzlich behebt Microsoft mit dem Update KB5127648 für Windows 11 26H2, 25H2 und 24H2 noch einige Fehler, die auch Spieler betrafen.

Dafür wird Windows 11 an anderer stelle kaputt gepatcht...
Quelle: Windows 11: Oktober-Patchday sorgt für WLAN-Bug in Unternehmen

Der aktuelle Oktober-Patchday sorgt unter Windows 11 in Unternehmensnetzwerken für erhebliche Schwierigkeiten. Nach der Installation scheitert die WLAN-Authentifizierung bei WPA2-Enterprise. Ein Eingriff in die Registry kann das Problem beheben.

Die Admins werden wieder Freudentänze machen.

Die News dazu

siehe oben...

 

[wagga]

Bei jedem Patchday lese ich von 1000en geschlossenen Sicherheitslücken.
Ist Windows jetzt eher so bulletproof, wie eine Stahlplatte oder dorch eher Modell Maschendrahtzaun?

Eher der Zaun oder ein Madenkäse

 

[Der Puritaner]

Microsoft erzählt auch immer sehr viel wenn der Tag lang ist und behauptet dann am nächsten etwas anders.

Wenn ich das mal so durch rechne sind das mehr als 5.000 Fehler die seit Juni korrigiert worden sind.

Wäre es da nicht sinnvoller das System durch die AI komplett neu schreiben zu lassen und sich anschließen bei Kunden für dieses schlecht geschriebene OS dafür zu entschuldigen?

 

[Finalspace]

Wenn das jetzt alles so easy wird/ist, dann werden die Leute anfangen ihre Lieblings Betriebssysteme zu fix und auf Stand der Zeit zu bringen 😁 wie wohl XP64 auf ner NVMe SSD und 64GB RAM laufen wird 😂

XP 64-bit wäre der Hammer auf heutiger Hardware. Ich denke in ein paar Monaten sind wir soweit, dass man ganze Betriebssysteme aus dem Boden stampfen kann mit KI. Treiber und Devices gehen ja jetzt schon.

 

[Restart001]

Ein Glück gibts den manuellen Download, mit solch einem Windows 11 unterwegs gewesen zu sein gleicht einer digitalen Apokalypse. Meine Fresse, zum "Glück" bin ich ja seit Januar mit Linux unterwegs...