Windows Shell: Aktiv ausgenutzte Zero-Day-Lücke hebelt Mark of the Web aus

Microsoft hat am Patchday im Oktober eine Lücke in der Windows Shell geschlossen, die Angreifer schon vorher ausgenutzt haben. Über die Schwachstelle lässt sich Mark of the Web aushebeln, also genau der Mechanismus, der dich vor Dateien aus dem Internet warnen soll. Betroffen sind Windows 10, Windows 11, Windows Server ab 2012 R2 sowie Outlook.com. Wenn du die Oktober-Updates noch nicht eingespielt hast, solltest du das jetzt nachholen.

Die Lücke im Überblick

Die Schwachstelle trägt die Kennungen CVE-2026-96951 und EUVD-2026-100274. Sie hat einen CVSS-Score von 8.8, Microsoft selbst stuft sie als „Important“ ein und bestätigt aktive Angriffe. Die US-Behörde CISA hat sie noch am Patchday, dem 13. Oktober 2026, in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen.

Technisch handelt es sich um eine Command Injection. Die Windows Shell, also die Oberfläche, über die du Dateien öffnest und verwaltest, neutralisiert Sonderzeichen in einem Befehl nicht ausreichend. Das nutzen Angreifer, um Mark of the Web (MotW) zu umgehen. Normalerweise markiert Windows heruntergeladene Dateien und zeigt beim Öffnen eine Warnung oder startet Office-Dokumente in der geschützten Ansicht. Diese Hürde fällt bei einem erfolgreichen Angriff weg.

So läuft ein Angriff ab

Ganz ohne dein Zutun geht es nicht: Laut Microsoft müssen Angreifer dich dazu bringen, einen Link zu einer präparierten Website anzuklicken oder einen schädlichen Anhang zu öffnen. Der Angriff selbst ist dann wenig komplex, läuft über das Netzwerk und braucht keine Anmeldung. Klassisches Phishing also, nur ohne die Warnung, die dich sonst vielleicht noch gestoppt hätte. Workarounds oder Indicators of Compromise nennt Microsoft nicht.

Diese Updates schließen die Lücke

Deinen aktuellen Build siehst du mit winver. Neben dem Update hilft vor allem eines: Sensibilisiere dich und dein Team dafür, keine Anhänge und Links aus unbekannten Quellen zu öffnen. Gerade weil die gewohnte Warnung bei diesem Angriff ausbleibt, ist das gesunde Misstrauen wichtiger als sonst.