Microsofts Risikogruppen ersetzen keine Einzelprüfung
Parallel zu den Oktober-Sicherheitsupdates stellt Microsoft vorläufige Risikogruppen vor. Sie bündeln Schwachstellen mit ähnlichen Fragen zur Kundenumgebung und sollen die Patch-Priorisierung unterstützen. Offizielle Kategorien sind sie nicht, jede Schwachstelle soll weiterhin einzeln geprüft werden.
Das Wichtigste in Kürze
- Microsoft schlägt vorläufige Risikogruppen vor. Sie bündeln Schwachstellen mit ähnlichen Fragen zur Kundenumgebung, eine gemeinsame Fehlerursache ist dafür keine Voraussetzung.
- Die Gruppen ändern Microsofts Update-Empfehlungen nicht. Aus der Zugehörigkeit zu einer Gruppe folgt nicht, dass ein gemeinsames Update sämtliche enthaltenen Schwachstellen behebt.
- Eine Lücke in der Windows-Shell wird bereits aktiv ausgenutzt. Sie umgeht den Schutz Mark of the Web für Dateien aus dem Internet, setzt aber eine Aktion des Nutzers voraus.
Verwandt: Windows-Lücken: Patch-Reihenfolge für kritische Assets · Linux-Kernel-Lücke: Ubuntu liefert noch keinen Patch
Der Oktober-Patch-Tuesday in Zahlen
Am 13. Oktober, dem monatlichen Patch-Tuesday, hat Microsoft seine Sicherheitsupdates veröffentlicht. Nach Zählung von BleepingComputer beheben sie 1.411 Schwachstellen. Lücken, die bereits früher im Monat behoben wurden, sind dabei nicht mitgezählt. Nach Zählung der Zero Day Initiative umfasst das Oktober-Release 1.415 neue CVEs von Microsoft. Eine CVE ist die eindeutige Kennnummer einer öffentlich erfassten Schwachstelle.
Am selben Tag hat Microsoft einen vorläufigen Ansatz vorgestellt, der Kunden bei der eigenen Schwachstellenanalyse unterstützen soll. Er ordnet Schwachstellen nach Fragen zur Umgebung des Kunden.
Was ist eine Risikogruppe? Eine Risikogruppe, im Original „risk cohort“, fasst Schwachstellen zusammen, zu denen sich ähnliche Fragen zur Kundenumgebung stellen. Eine gemeinsame Fehlerursache oder ein gleicher CVSS-Wert ist dafür keine Voraussetzung. Microsoft stellt das Konzept als vorläufigen Ansatz vor, der keine offizielle Schwachstellenkategorie bildet.
Wie Risikogruppen funktionieren sollen
Microsoft nennt das Konzept Risikogruppen, im Original „risk cohorts“. Eine Risikogruppe bündelt CVEs, zu denen sich ähnliche Fragen zur Kundenumgebung stellen. Sie setzt weder eine gemeinsame Fehlerursache noch einen gleichen CVSS-Wert voraus. Der CVSS-Wert ist eine standardisierte Kennzahl für den technischen Schweregrad einer Schwachstelle.
Maßgeblich für die Zuordnung sind damit die Fragen, die sich in der IT-Umgebung des Kunden stellen. Zwei technisch verschiedene Lücken können so in derselben Gruppe stehen. Kunden sollen die gemeinsamen Umgebungsfragen einer Gruppe dokumentieren. Der Ansatz ist als Unterstützung für Analysen gedacht, die Kunden selbst durchführen.
Was die Gruppen nicht leisten
Die Risikogruppen sind keine offiziellen Schwachstellenkategorien von Microsoft. An Microsofts Update-Empfehlungen ändern sie nichts. Eine Gruppe bedeutet auch nicht, dass ein gemeinsames Update oder eine gemeinsame Gegenmaßnahme sämtliche enthaltenen CVEs behebt. Wie das Konzept in Microsofts Werkzeuge einfließt, ist offen.
Jede CVE soll weiterhin einzeln geprüft werden. Vorgesehen sind dafür vier Kriterien:
- aktive Ausnutzung
- Schweregrad
- Angriffsweg
- produktspezifische Empfehlungen
Das Dokumentieren der gemeinsamen Umgebungsfragen tritt neben diese Prüfung.
Zwei Oktober-Lücken im Vergleich
Wie weit zwei Einträge desselben Monats auseinanderliegen, zeigen zwei Lücken aus dem Oktober-Bulletin. CVE-2026-96951 betrifft die Windows-Shell, die Bedienoberfläche des Betriebssystems. Die Lücke gilt als aktiv ausgenutzt und trägt den Schweregrad „Important“, auf Deutsch „wichtig“. Ein nicht autorisierter Angreifer kann über das Netzwerk Befehle einschleusen, eine sogenannte Befehlsinjektion. Damit umgeht er den Schutz Mark of the Web, eine Windows-Kennzeichnung für Dateien aus dem Internet.
Die Ausnutzung setzt eine Aktion des Nutzers voraus. Nach Angaben der Zero Day Initiative sollen Betroffene den Patch wegen der aktiven Ausnutzung zügig testen und ausrollen.
CVE-2026-108398 im .NET Framework liegt anders. Der Angreifer muss authentifiziert sein, also über eine gültige Anmeldung verfügen. Er kann dann lokal Windows Defender Application Control umgehen, kurz WDAC. Die Funktion legt fest, welche Anwendungen auf einem Rechner laufen dürfen. Die Lücke ist öffentlich bekannt, eine aktive Ausnutzung ist nicht gemeldet.
Entlang der vier Prüfkriterien unterscheiden sich beide Fälle bei der Ausnutzung, beim Angriffsweg und bei den Voraussetzungen für den Angreifer. Microsofts Update-Empfehlungen für beide Lücken bleiben von den Risikogruppen unberührt.
Häufige Fragen
Jede Frage ist verschlossen. Ein Tippen entriegelt die Antwort.
Welche Rolle spielt der Nutzer bei CVE-2026-96951?
Ohne eine Aktion des Opfers lässt sich die Lücke nicht ausnutzen. Der Angreifer muss das Opfer dazu verleiten, etwa über einen präparierten Link oder Anhang.
Zeigt der Security Update Guide die Risikogruppen an?
Derzeit nicht. Der Security Update Guide, Microsofts Portal mit Angaben zu Sicherheitsupdates, zeigt die Kohortenbeziehungen bislang nicht an. Eine konkrete Integration in das Produkt sagt Microsoft nicht zu.
Wurden die Angaben zu CVE-2026-96951 seit der Veröffentlichung geändert?
Das Änderungsprotokoll führt für die Lücke ausschließlich die Erstveröffentlichung vom 13. Oktober. Als letzter Veröffentlichungsstand des Oktober-Bulletins ist derselbe Tag genannt.
Lesetipps der Redaktion
LesetippDrei Linux-Kernel-Lücken werden aktiv ausgenutztLesetippWindows-Lücken: Patch-Reihenfolge für kritische AssetsLesetippMicrosoft schließt zwei lokal ausgenutzte Windows-Lücken
Bildquelle: KI-generiert (November 2026)
Mehr aus dem MBF Media Netzwerk
cloudmagazinCloud-Souveränität könnte 115 Milliarden Euro kosten
MyBusinessFutureStudie der Hochschule München: Wie KI die Unternehmensberatung verändert
Digital ChiefsSchwarz setzt auf Cohere: Was Aleph-Alpha-Kunden tun
