Microsoft veröffentlicht 622 Sicherheitsupdates, darunter zwei ausgenutzte Zero-Day-Schwachstellen

Microsofts Sicherheitsupdate vom Juli behebt 622 einzigartige Schwachstellen und ist damit das bislang umfangreichste Patchday-Update des Unternehmens. Zwei der Schwachstellen sind Zero-Days, die Microsoft zufolge bereits von Angreifern ausgenutzt werden, während eine dritte öffentlich bekannt war, aber nicht mit aktiven Angriffen in Verbindung gebracht wurde.

Prioritäre Updates betreffen SharePoint und AD FS

Das dringendste Problem für Unternehmen mit lokal betriebenem SharePoint ist CVE-2026-56164, eine Schwachstelle zur Rechteerweiterung, die sich aus der Ferne ohne Authentifizierung oder Benutzerinteraktion ausnutzen lässt. Microsoft schreibt Mandiant und dem FLARE-Team von Google die Meldung der Schwachstelle zu und bestätigte, dass sie bei Angriffen eingesetzt wird. Administratoren können das Risiko außerdem durch die Aktivierung von AMSI im vollständigen Modus reduzieren.

Die zweite ausgenutzte Schwachstelle, CVE-2026-56155, betrifft Active Directory Federation Services. Ein authentifizierter Angreifer könnte schwache Zugriffskontrollen nutzen, um lokal seine Rechte zu erweitern. Obwohl die Schwachstelle als lokal eingestuft wird, könnte die Kompromittierung eines AD-FS-Servers weitreichendere Folgen haben, da das System Authentifizierungstoken ausstellt, denen innerhalb eines Unternehmens vertraut wird.

Zum Zeitpunkt der Veröffentlichung war keine der beiden Schwachstellen in den Katalog der bekannten ausgenutzten Schwachstellen (Known Exploited Vulnerabilities) der CISA aufgenommen worden. Microsofts Einstufung als ausgenutzt sollte dennoch als ausreichender Grund gelten, die Behebung zu priorisieren.

Weitere wichtige Probleme

• CVE-2026-50661 ist eine öffentlich bekannt gemachte BitLocker-Umgehung, für die physischer Zugriff auf ein Gerät erforderlich ist.
• CVE-2026-55040 ist eine von Rapid7 bekannt gemachte Umgehung der JWT-Authentifizierung in SharePoint. Die Forscher zeigten, wie sie mit einer ungepatchten Schwachstelle zur Remotecodeausführung kombiniert werden könnte, deren Behebung voraussichtlich im August veröffentlicht wird.
• Mit dem Update wird der Rollback-Schalter für die Abschaffung von Kerberos RC4 entfernt. Unternehmen sollten Auditereignisse überprüfen, Dienstkonten identifizieren, die noch RC4 verwenden, und Anmeldedaten rotieren, um vor der Bereitstellung des Updates AES-Schlüssel zu erzeugen.

Auf Windows entfallen 416 der aufgeführten Probleme, auf Office 82 und auf Edge 46. Das Update umfasst außerdem Schwachstellen in Entwicklertools, Azure, SQL Server, Exchange Server, Defender und SharePoint. Zu den bemerkenswerten Einträgen gehören eine mit 9,9 bewertete Schwachstelle zur Remotecodeausführung in Windows VMSwitch sowie Schwachstellen zur Remotecodeausführung in SQL Server mit einer Bewertung von 8,8.

Microsoft führte das ungewöhnlich hohe Volumen teilweise auf ausgeweitete automatisierte Sicherheitstests zurück. Der Umfang des Updates unterstreicht zudem die Notwendigkeit einer risikobasierten Priorisierung: Aktive Ausnutzung, Erreichbarkeit aus dem Internet, Authentifizierungsinfrastruktur und Abhängigkeiten, die den Betrieb beeinträchtigen könnten, sollten die Reihenfolge der Bereitstellung stärker bestimmen als die Schweregrade allein.