Windows-Shell-Lücke CVE-2026-96951: Angreifer hebeln die Download-Warnung aus

Microsoft hat am Oktober-Patchday eine Schwachstelle in der Windows-Shell geschlossen, die bereits aktiv ausgenutzt wird. Die Lücke mit der Kennung CVE-2026-96951 hebelt den sogenannten Mark-of-the-Web-Schutz aus — also genau die Warnung, die Windows normalerweise anzeigt, wenn man eine aus dem Internet geladene Datei öffnet. Für KMU ist das besonders heikel, weil der typische Angriffsweg eine präparierte E-Mail-Anlage ist.

Was ist passiert?

Microsoft hat die Schwachstelle CVE-2026-96951 (“Windows Shell Security Feature Bypass”) am Patchday vom 13. Oktober 2026 behoben. Sie ist mit einem CVSS-Wert von 8.8 bewertet und zählt zu den Zero-Day-Lücken, deren aktive Ausnutzung Microsoft bestätigt hat. Die US-Behörde CISA nahm sie am selben Tag in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) auf.

Technisch umgeht die Lücke den Mark-of-the-Web (MOTW). Dieses Kennzeichen hängt Windows an Dateien, die aus dem Internet oder per E-Mail kommen, und löst beim Öffnen die bekannte Sicherheitswarnung aus. Gelingt die Umgehung, startet eine manipulierte Datei ohne diese Warnung. Die Ausnutzung erfordert Nutzerinteraktion: Das Opfer muss laut Microsoft eine präparierte Datei öffnen oder auf einen Link klicken — verteilt etwa per E-Mail oder Messenger.

Wer ist betroffen?

Betroffen sind Windows-Clients und -Server über alle gängigen Versionen hinweg. Weil die Windows-Shell eine Kernkomponente jedes Windows-Systems ist, trifft das praktisch jedes Unternehmen, das Windows-Arbeitsplätze einsetzt. Besonders exponiert sind Umgebungen, in denen Mitarbeitende regelmäßig Dateianhänge aus externen E-Mails öffnen — also der Normalfall in fast jedem KMU.

Was jetzt zu tun ist

1. Windows-Updates einspielen: Installieren Sie das kumulative Update vom Oktober-Patchday (13. Oktober 2026) auf allen Clients und Servern. Für aktuelle Windows-11-Versionen (24H2/25H2) ist dies z. B. KB5127648. Prüfen Sie über Windows Update, welches Paket für Ihre Version vorgesehen ist.
2. Priorisieren: Behandeln Sie diese Lücke trotz der Einstufung “wichtig” mit hoher Priorität — die bestätigte aktive Ausnutzung wiegt schwerer als die reine CVSS-Zahl.
3. Patch-Stand verifizieren: Kontrollieren Sie nach dem Rollout, dass das Update auf allen Geräten tatsächlich installiert ist — auch auf Notebooks im Homeoffice und selten genutzten Rechnern.
4. Mitarbeitende sensibilisieren: Weisen Sie darauf hin, dass unerwartete Anhänge und Links weiterhin mit Vorsicht zu behandeln sind. Da die Download-Warnung ausgehebelt werden kann, darf man sich nicht allein auf sie verlassen.

So hilft Binary System Services

Wir sorgen mit zentralem Patch-Management dafür, dass kritische Windows-Updates wie dieses zeitnah und lückenlos auf allen Geräten landen — inklusive Nachkontrolle, dass kein Rechner übersehen wird. Über unser Monitoring erkennen wir ungepatchte Systeme, bevor Angreifer sie finden, und unterstützen bei Awareness-Maßnahmen gegen Phishing-Anhänge. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.