Windows Shell CVE-2026-96951: Windows-11-Korrektur überprüfen und Anhangsschutz erhalten

Worum es geht

Stand: 25. Oktober 2026. CVE-2026-96951 ermöglicht die Umgehung einer Sicherheitsfunktion der Windows Shell. Microsofts CVE-Eintrag, aktualisiert am 23. Oktober 2026, nennt produktspezifische betroffene Versionsbereiche. CISA nahm die Schwachstelle am 13. Oktober 2026 in KEV auf und nennt den 16. Oktober 2026 als Frist für die von ihrer Richtlinie erfasste Behebung. Vor dem Deployment den CVE-Eintrag, die KEV-Massnahme und bekannte Probleme des kumulativen Updates erneut prüfen.

Dieser Artikel beschränkt die Patch-Überprüfung auf Windows 11 24H2, 25H2 und 26H2. Microsofts Eintrag führt auch andere Windows-Produkte auf; diese benötigen eine eigene Zuordnung zu Updates. Die Herkunftsinformation von Anhängen, üblicherweise Mark of the Web genannt, ist eine separate Schutzmassnahme, die während der Behebung erhalten bleiben muss. Laut Microsoft-Dokumentation nutzt Windows diese Zoneninformationen zur Risikobewertung von Anhängen.

Warum es wichtig ist

Die Umgehung einer Sicherheitsfunktion erfordert dringende Aufmerksamkeit, auch wenn dafür eine Benutzerinteraktion mit Inhalten nötig ist. Das richtige Update zu installieren und die Schutzkonfiguration beizubehalten sind getrennte Aufgaben. Microsofts Dokumentation zum Anlagen-Manager warnt ausdrücklich, dass eine korrekte Risikobewertung nicht möglich ist, wenn das Speichern der Zoneninformationen deaktiviert wird.

SmartScreen bietet Reputationsprüfungen für heruntergeladene Anwendungen und Warnungen bei verdächtigen Inhalten. Diese Schutzfunktionen belegen nicht, dass jede Datei ohne Warnung vertrauenswürdig ist. Die folgende Deployment-Checkliste ist ein Betriebsverfahren und kein Test, der versucht, die Schwachstelle auszulösen.

So wird es angewendet

• Zuerst die Version zuordnen. winver ausführen und die Windows-Version sowie den vollständigen Betriebssystem-Build erfassen. Der CVE-Eintrag nennt als betroffen: 24H2-Builds ab 10.0.26100.0 bis vor 10.0.26100.9711; 25H2 ab 10.0.26200.0 bis vor 10.0.26200.9711; und 26H2 ab 10.0.26300.0 bis vor 10.0.26300.9711. Build-Nummern verschiedener Versionsfamilien nicht miteinander vergleichen.
• Das zugeordnete Update installieren. Microsofts KB5127648 vom 13. Oktober 2026 stellt die jeweiligen Builds 26100.9711, 26200.9711 und 26300.9711 bereit. Windows Update oder den verwalteten Verteilungskanal der Organisation verwenden. Bei der Installation eigenständiger Pakete die architekturspezifischen Checkpoint-Voraussetzungen dieses KB-Artikels beachten. Ein späteres ablösendes Update muss anhand des Versionsverlaufs desselben Produkts überprüft werden.
• Die Aktivierung überprüfen. Den erforderlichen Neustart abschliessen, winver erneut ausführen und den resultierenden Build zusammen mit dem erfolgreichen Eintrag im Updateverlauf sichern. Ein ausstehender Neustart, eine fehlgeschlagene Installation oder ein ungeprüftes ablösendes Paket muss in der Dokumentation der Behebung offenbleiben.
• Den Schutz von Anhängen erhalten. DoNotPreserveZoneInformation deaktivieren oder nicht konfigurieren; die Aktivierung dieser negativ formulierten Richtlinie verhindert, dass Windows Anhänge kennzeichnet. HideZoneInfoMechanism prüfen und routinemässige Anweisungen zum Entsperren unbekannter Dateien vermeiden. Den Reputationsschutz von SmartScreen über die zutreffenden Verwaltungseinstellungen aktiviert lassen.
• Den Übermittlungsweg prüfen. Als vorgeschlagene vorbeugende Massnahme unnötige Archiv- oder Container-Anhänge am Mail-Gateway zurückweisen. Erforderliche Abläufe mit Anhängen anhand harmloser Dateien testen und prüfen, wie dabei Herkunftsinformationen erhalten bleiben. Unerwartete Prozessausführung nach dem Öffnen von Anhängen an die Vorfallsbearbeitung eskalieren; der Patch-Status allein kann einen Kompromittierungsverdacht nicht ausräumen.

Stolpersteine

Die zitierte Richtlinie des Anlagen-Managers setzt NTFS voraus und kann auf FAT32 unbemerkt fehlschlagen. Der dokumentierte SmartScreen-Schutz erstreckt sich nicht auf schädliche Dateien auf internen Netzwerkfreigaben. Weder eine ausbleibende Warnung noch ein anscheinend erfolgreicher Paketdownload beweist die Behebung. Dieser Artikel behauptet nicht, dass bei einem bestimmten Archivformat immer Herkunftsmetadaten verloren gehen, und enthält keinen Test zur Umgehung des Schutzes. Durch Updates verursachte Fehler getrennt von Hinweisen auf eine Kompromittierung prüfen.