Windows Shell Sicherheitslücke CVE-2026-96951: Mark of the Web ausgehebelt

Hinweis: Dieser Beitrag wurde mit KI-Unterstützung erstellt und automatisiert veröffentlicht.

Die Windows Shell Sicherheitslücke CVE-2026-96951 ist die einzige Lücke des Oktober-Patchdays, die Microsoft selbst als aktiv ausgenutzt führt. Zwei weitere Oktober-Lücken waren vor dem Patch öffentlich bekannt, gelten aber nicht als ausgenutzt – daher die in manchen Berichten genannten „drei Zero-Days“. Sie hebelt den „Mark of the Web“-Schutz aus – also genau jene Markierung, an der Windows und Office erkennen, dass eine Datei aus dem Internet stammt. Für US-Bundesbehörden endet die Patch-Frist heute. Grund genug, die Lücke nicht im Rauschen eines Rekord-Patchdays untergehen zu lassen.

Was hinter der Windows Shell Sicherheitslücke steckt

Microsoft führt CVE-2026-96951 als „Windows Shell Security Feature Bypass Vulnerability“, veröffentlicht am 13. Oktober 2026, Einstufung Important, CVSS 3.1 Basiswert 8.8 (Vektor AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H). Technisch handelt es sich laut Microsoft und NVD um eine Befehlsinjektion (CWE-77) in der Windows Shell, über die ein nicht autorisierter Angreifer eine Schutzfunktion über das Netzwerk umgehen kann.

Welche Schutzfunktion das ist, sagt Microsoft im FAQ des Advisories deutlich: Ein erfolgreicher Angreifer kann die Mark-of-the-Web-Abwehr umgehen. Als Angriffsweg nennt Microsoft eine präparierte Datei, die per E-Mail oder Instant Message zugestellt wird; der Nutzer muss aktiv werden – anklicken oder öffnen. Genau das steckt im Vektor-Teil UI:R. Microsoft markiert den Status als „Exploitation Detected“, gibt aber an, dass die Lücke vor dem Patch nicht öffentlich bekannt war. Wer hinter den Angriffen steht und wie die Kette weiterläuft, hat Microsoft nicht veröffentlicht – das bleibt offen.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

CISA-Frist endet am 16. Oktober

Die US-Cybersicherheitsbehörde CISA hat CVE-2026-96951 am 13. Oktober 2026 in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen, mit Fälligkeitsdatum 16. Oktober 2026 und der Auflage einer forensischen Triage. Eine Nutzung in Ransomware-Kampagnen ist im Katalog mit „Unknown“ vermerkt – also weder bestätigt noch ausgeschlossen. Dasselbe Fälligkeitsdatum trägt übrigens die Ivanti-Lücke, über die wir vorgestern geschrieben haben: Ivanti Connect Secure Zero-Day CVE-2026-104935.

Zum Umfang des Patchdays selbst ist Vorsicht angebracht: Die Fachmedien nennen unterschiedliche Gesamtzahlen für den Oktober (je nach Zählweise 1.407 bis 1.416 Lücken; am häufigsten steht 1.413 in den Berichten). Der Unterschied entsteht unter anderem daraus, ob die früher im Monat geschlossenen Lücken mitgezählt werden. Für die Priorisierung ist die genaue Zahl ohnehin zweitrangig – ausgenutzt wird nach heutigem Stand diese eine.

Was das für dich bedeutet

Mark of the Web ist keine spektakuläre Schutzschicht, aber eine tragende. An ihr hängen die geschützte Ansicht in Office, Warnhinweise im Explorer und ein Teil der SmartScreen-Logik. Fällt die Markierung weg, verliert der Anwender die Bremse, auf die er sich im Alltag am stärksten verlässt – zwischen „Datei aus dem Internet“ und „Programm läuft“. In meiner Praxis ist das der kritische Moment: Nicht die Lücke richtet den Schaden an, sondern das, was danach ausgeführt wird – Loader, Infostealer, Ransomware-Vorbereitung.

Zugleich lohnt ein nüchterner Blick auf die 8.8. Der Vektor sagt „über das Netzwerk“, aber er verlangt Nutzerinteraktion. Kein Server fällt hier ohne Zutun eines Nutzers von außen um – in der Liste der betroffenen Builds stehen Server-Versionen trotzdem. Betroffen sind die Geräte, auf denen Menschen Mails und Chats öffnen – also die Arbeitsplätze, die in vielen kleinen Betrieben erst im zweiten oder dritten Patch-Ring landen. Diese Reihenfolge ist bei dieser Lücke falsch herum. Und: Weil die Lücke vor dem Patch nicht öffentlich war, ist die Angriffsfläche im Moment noch eng – mit jedem Tag nach dem Patchday dürfte sie wachsen, weil Patch-Diffs öffentlich analysierbar sind – belegt ist das für diese Lücke noch nicht.

Konkret jetzt tun

• Clients vor Servern patchen. Die Oktober-Updates zuerst auf die Geräte mit Mail- und Browser-Nutzung ausrollen – nicht zuerst in die Server-Ringe.
• Abdeckung messen, nicht annehmen. Aus Intune, WSUS oder dem Patch-Tool die Zahl der Clients mit installiertem Oktober-Update ziehen und mit dem Geräte-Inventar vergleichen. „Ist ausgerollt“ ist keine Zahl.
• Nicht auf die Warnung allein setzen. Ausführbare Inhalte aus E-Mail und Webmail per Angriffsflächenreduzierung (ASR) blockieren, die geschützte Ansicht in Office erzwingen und riskante Container-Anhänge schon am Mail-Gateway filtern. ASR-Regel und Gateway-Filter greifen unabhängig von der Dateimarkierung; die geschützte Ansicht hängt dagegen selbst am Zone.Identifier – zonenunabhängig erzwingt man sie nur über die Dateiblockierungs-Einstellungen im Trust Center.
• Logs für die Rückschau sichern. Der KEV-Eintrag trägt – wie alle Einträge unter BOD 26-04 – die Auflage einer forensischen Triage. Der Gedanke dahinter trägt auch ohne Behördenpflicht: Prozesserzeugungs- und EDR-Logs der letzten Wochen aufbewahren, bevor sie rotieren.
• Anwender gezielt informieren. Ein Satz reicht: Eine fehlende Warnung bedeutet derzeit nicht, dass eine Datei sicher ist.

Wer beim Thema Mail-Angriffe weiterdenkt, kommt schnell zur nächsten Schicht – den Zugangsdaten, die am Ende solcher Ketten stehen. Phishing-resistente Anmeldung gehört deshalb auf dieselbe Liste; welche Hardware-Keys dafür taugen, habe ich im Ratgeber zu FIDO2-Security-Keys zusammengestellt.

Quellen

• Microsoft Security Response Center: CVE-2026-96951 – Windows Shell Security Feature Bypass Vulnerability
• NVD: CVE-2026-96951 (CVSS 8.8, CWE-77)
• CISA: Known Exploited Vulnerabilities Catalog, Eintrag CVE-2026-96951