Am Dienstag, dem 13. Oktober, war Patchday. Microsoft veröffentlicht Sicherheitsupdates jeden zweiten Dienstag im Monat. Diesmal waren es so viele wie noch nie.
01 WAS DIESEN MONAT DRIN WAR
Die Zahl wirkt dramatischer, als sie ist. Viele Updates betreffen Komponenten, die nicht auf jedem Rechner laufen. Außerdem findet Microsoft mit Hilfe von KI deutlich mehr Fehler selbst.
Wichtig ist vor allem eine Lücke: CVE-2026-96951 in der Windows Shell. Sie wird bereits ausgenutzt. Angreifer umgehen damit die Warnung, die Windows bei Dateien aus dem Internet anzeigt. Bei Phishing-Anhängen ist diese Warnung oft die letzte Hürde.
Dazu endet der Support für einige Versionen. Windows 11 24H2 Home und Pro sowie Windows 10 Enterprise LTSB 2016 bekommen keine Updates mehr. Für Windows 11 23H2 Enterprise und Education ist im November Schluss. Wer diese Versionen noch nutzt, sollte das Upgrade jetzt planen.
02 WINDOWS: STUFENWEISE AUSROLLEN
Alle Updates sofort auf alle Geräte zu verteilen, ist riskant. Gar nicht zu patchen, ist riskanter. Bewährt hat sich ein Ausrollen in Stufen. Das funktioniert mit jedem Verteilungswerkzeug:
- Stufe 1, Test: einige Geräte der IT, zum Beispiel noch am Patchday
- Stufe 2, Pilot: eine Abteilung, die Probleme zuverlässig meldet
- Stufe 3, alle: die übrigen Arbeitsplätze, danach die Server
Wie viele Tage zwischen den Stufen liegen, hängt von Ihrem Betrieb ab. Server werden einzeln aktualisiert, nicht alle auf einmal. Bei Domain Controllern und Clustern gilt: immer einer nach dem anderen. Und vorher prüfen, ob die Sicherung aktuell ist.
DIE AUSNAHME
Wird eine Lücke bereits ausgenutzt, verkürzen Sie die Abstände zwischen den Stufen. So wie diesen Monat in der Windows Shell. Ein paar Tage weniger Test sind dann das kleinere Risiko.
03 LINUX HAT KEINEN PATCHDAY
Bei Linux gibt es keinen festen Termin. Die Distributionen veröffentlichen Sicherheitsupdates, sobald sie fertig sind. Das betrifft den Kernel genauso wie OpenSSH oder den Webserver.
Sogar Microsofts Oktober-Liste enthielt Updates für den Linux-Kernel und OpenSSH. Sie betrafen Microsofts eigene Linux-Distribution.
Das Risiko liegt hier woanders. Updates werden aufgeschoben, weil nie der richtige Moment ist. Und bei zwanzig oder zweihundert Servern mit verschiedenen Distributionen wird Patchen von Hand mühsam.
04 LINUX MIT AWX: AUTOMATISCH UND KONTROLLIERT
Dafür nutzen wir Ansible AWX. AWX läuft bei uns im eigenen OpenShift-Cluster. Jeder Patch-Lauf folgt demselben Ablauf, egal welche Distribution:
Was das bringt:
- Zeitplan nach Vereinbarung: AWX startet die Läufe automatisch. Wann und wie oft, legen wir mit Ihnen fest, zum Beispiel wöchentlich oder einmal im Monat.
- In Gruppen statt alles auf einmal: Von redundanten Servern wird immer nur einer aktualisiert. Der Dienst bleibt erreichbar.
- Nachvollziehbar: Jeder Lauf wird protokolliert, mit Zeit, Server und Ergebnis. Das hilft auch bei Audits nach ISO 27001 oder NIS2.
- Keine Passwörter im Klartext: Die Zugangsdaten liegen in einem Tresor, nicht in Skripten.
- Auf Wunsch per Formular: Verantwortliche für eine Anwendung können einen freigegebenen Patch-Lauf selbst starten.
05 DIE KURZE CHECKLISTE
- Wissen Sie, welche Geräte und Server Sie haben, mit Betriebssystem und Version?
- Gibt es feste Stufen für Windows und geplante Läufe für Linux?
- Gibt es vor jedem Update eine aktuelle Sicherung? Und wurde die Wiederherstellung schon getestet?
- Wer entscheidet, wann eine ausgenutzte Lücke die Stufen verkürzt?
- Laufen noch Systeme, die keine Updates mehr bekommen?
06 WENN SIE DAS NICHT SELBST MACHEN WOLLEN
Patchen ist nicht schwierig. Es hört nur nie auf. Mit RELAX Services übernehmen wir den Betrieb der Bereiche, die Sie uns übergeben. Patch-Management für Server, Arbeitsplätze oder Microsoft 365 kann ein Teil davon sein. Was dazugehört, legen wir gemeinsam fest.
Sie wollen wissen, wie es um Ihren Patch-Stand steht? Sprechen Sie uns an.
Zahlen zum Oktober-Patchday laut BleepingComputer, Stand 13. Oktober 2026.