Am 13. Oktober 2026 verteilte Microsoft laut TurboLab.it sein Oktober-Update zum Patch Tuesday. Drei darin gemeldete Zero-Day-Schwachstellen ordnen BleepingComputer und die Zero Day Initiative bestimmten Komponenten zu. Als aktiv ausgenutzt wurde CVE-2026-96951 beschrieben.
Die drei gemeldeten Zero-Day-Schwachstellen
Die Berichte ordnen CVE-2026-96951 der Windows Shell zu und beschreiben sie als Sicherheitslücke, mit der sich Schutzfunktionen umgehen lassen. Sie sei aktiv ausgenutzt worden, berichtet NHS England Digital; auch BleepingComputer führt diesen Status an.
CVE-2026-108398 betrifft laut BleepingComputer und der Zero Day Initiative das .NET Framework. Die Schwachstelle ermögliche ebenfalls das Umgehen von Sicherheitsfunktionen und sei vor einem verfügbaren Patch öffentlich bekannt gewesen, aber nicht aktiv ausgenutzt worden.
CVE-2026-92707 wird MessagePack-CSharp zugeordnet. BleepingComputer und die Zero Day Initiative beschreiben sie als öffentlich bekannte Denial-of-Service-Schwachstelle, die zum Zeitpunkt der Berichte nicht aktiv ausgenutzt worden sei. Eine Denial-of-Service-Schwachstelle kann darauf zielen, einen Dienst durch eine Überlastung unerreichbar zu machen.
Der Unterschied für die Einordnung: Bei CVE-2026-96951 meldeten die Quellen eine aktive Ausnutzung; für die beiden anderen Schwachstellen berichteten sie von einer vorherigen öffentlichen Bekanntmachung, aber keiner aktiven Ausnutzung.
Welche Microsoft-Produkte genannt wurden
TurboLab.it führt Windows, Microsoft Office, Exchange Server, SQL Server, Azure-Dienste, .NET, Visual Studio und Microsoft Edge als Bereiche des Oktober-Updates auf. Die Meldung nennt außerdem weitere Microsoft-Produkte.
Für Unternehmensadministratoren empfiehlt TurboLab.it, die Updates zu bewerten und schrittweise auszurollen. Der gemeldete aktive Ausnutzungsstatus macht CVE-2026-96951 dabei zu einem besonders wichtigen Prüfpunkt.
