Windows-Server-Updates im Oktober: Post-Quantum-TLS, AD-FS-Härtung und Hyper-V-Probleme

Die Server-Updates des Oktober-Patchdays vom 13. Oktober 2026 enthalten mehr als Sicherheitskorrekturen. Günter Born fasst sie in seinem Blog am 14. Oktober zusammen. Für Windows Server 2025 bringt KB5126646 die Unterstützung von ML-KEM, dem standardisierten Schlüsselaustauschverfahren für Post-Quantum-Kryptografie, in TLS; dazu kommen Quick Machine Recovery (über Gruppenrichtlinie zu aktivieren, standardmäßig aus), Sicherheitsauditing für das Dateisystem ReFS, cURL 8.21.0 und Verbesserungen für Hyper-V mit Intel TDX.

Windows Server 2022 erhält mit KB5126655 ein erweitertes NTLM-Auditing, einen Fix für die Wiederherstellung von Storage Spaces Direct und die DKM-Härtung; Server 2019 (KB5126651) bekommt NTLM-Auditing und eine BitLocker-Korrektur, Server 2016 (KB5126868) Zeitzonenänderungen für kanadische Provinzen und ReFS-Sicherheitsfunktionen. Versionsübergreifend schließt CVE-2026-56155 eine Rechteausweitung durch zu großzügige Zugriffslisten des DKM-Containers in den Active Directory Federation Services; die Härtung wird in Phasen erzwungen.

Nach der Installation melden Administratoren in den Kommentaren Probleme: Fehlerberichte in WSUS, Hyper-V-Cluster, in denen das Failback virtueller Maschinen scheitert, und TPM-Fehler beim Start von VMs. Born empfiehlt, die ReFS-Richtlinien vor der Durchsetzungsphase zu prüfen, bei TDX-Inkompatibilität gespeicherte VM-Zustände zu löschen und die DKM-ACL-Einstellungen zu sichten, wenn sie angepasst waren.

Was das für Betriebe heißt

Mittelständler mit eigenem Hyper-V-Cluster sollten das Oktober-Update zuerst auf einem Knoten installieren und das Failback testen, bevor der Rest folgt; ein Cluster, der nach dem Patch nicht zurückschwenkt, ist schlimmer als ein ungepatchter. Wer AD FS für Single Sign-on betreibt, sollte die DKM-Härtung lesen, weil sie in späteren Phasen Anmeldungen stören kann. Und die ML-KEM-Unterstützung ist der erste Schritt zu quantensicherer Verschlüsselung im Standardbetrieb; wer Zertifikate und Reverse-Proxys plant, sollte das Thema für 2027 auf die Liste setzen.