Microsoft hat im Oktober Updates für 1415 Sicherheitslücken veröffentlicht. Wie eine Analyse der Zero Day Initiative (ZDI) von TrendAI hervorhebt, wird eine Schwachstelle bereits ausgenutzt, zwei weitere sind öffentlich bekannt. Die ZDI stuft zudem 59 Lücken als "wormable" ein: Sie liessen sich unter den jeweiligen technischen Voraussetzungen ohne Authentifizierung und Benutzerinteraktion ausnutzen.

Besondere Dringlichkeit habe CVE-2026-96951 (CVSS 8.8) in der Windows Shell. Die Schwachstelle ermögliche es Angreifern, den Mark-of-the-Web-Schutz zu umgehen, der Dateien aus nicht vertrauenswürdigen Quellen kennzeichnet.

Öffentlich bekannt ist auch CVE-2026-108398 (CVSS 8.8) im .Net Framework. Sie ermögliche die Umgehung von Schutzmechanismen von Windows Defender Application Control. Eine aktive Ausnutzung ist laut ZDI bislang nicht bekannt. Als weitere öffentlich bekannte Schwachstelle nennt die Analyse CVE-2026-92707 in der Drittanbieterkomponente Messagepack-CSharp.

Auch Adobe berichtete im Oktober von insgesamt 174 behobenen Schwachstellen. Betroffen seien unter anderem Coldfusion, Adobe Commerce und Experience Manager. In allen drei Bereichen gibt es laut Analyse Lücken mit einem CVSS-Wert von 10.0.

Besonders dringlich sei das Update für Coldfusion. Die Schwachstellen würden unter anderem unsichere Datei-Uploads und Code Injection umfassen. Auch bei Adobe Commerce und Experience Manager bestünden Fehler, die unter bestimmten Voraussetzungen Codeausführung ermöglichen. Laut ZDI ist bei den im Oktober behobenen Adobe-Lücken derzeit keine öffentliche Bekanntmachung oder Ausnutzung bekannt.