Microsoft veröffentlicht 622 Sicherheitsupdates, darunter zwei aktiv ausgenutzte Zero-Day-Schwachstellen

Microsofts Sicherheitsupdate vom Juli 2026 behebt 622 Schwachstellen in seinem gesamten Produktportfolio – die bislang umfangreichste Patch-Tuesday-Veröffentlichung des Unternehmens. Zwei der Schwachstellen wurden Berichten zufolge bereits vor der Verfügbarkeit von Patches aktiv ausgenutzt.

Die ausgenutzten Schwachstellen betreffen Active Directory Federation Services und SharePoint Server. CVE-2026-56155 ist eine Schwachstelle zur lokalen Rechteausweitung in AD FS, durch die ein Angreifer Administratorrechte erlangen könnte. CVE-2026-56164 betrifft SharePoint Server und kann ohne Authentifizierung aus der Ferne über ein Netzwerk ausgenutzt werden, ebenfalls zur Rechteausweitung.

Microsoft hob außerdem CVE-2026-50661 hervor, eine Schwachstelle, durch die sich eine Sicherheitsfunktion von BitLocker umgehen lässt. Das Problem wurde vor dem monatlichen Update öffentlich bekannt gemacht und setzt physischen Zugriff auf das Zielgerät voraus. Dadurch könnte ein Angreifer bestimmte Schutzmechanismen der Festplattenverschlüsselung umgehen. Sicherheitsforscher vermuten, dass die Veröffentlichung mit einer Reihe von Schwachstellen in Verbindung stehen könnte, die einem Forscher zugeschrieben werden, der die Namen Nightmare-Eclipse oder Chaotic-Eclipse verwendet. Microsoft hat diesen Zusammenhang jedoch nicht bestätigt.

Umfangreiche Produktabdeckung

Microsofts Veröffentlichungsinformationen zufolge entfallen 416 der behobenen Schwachstellen auf Windows, während 164 Office betreffen. Die übrigen Updates decken Produkte und Dienste wie Azure, Defender, Exchange Server, Edge, SQL Server und Entwicklertools ab.

Mehrere weitere Schwachstellen erhielten von Sicherheitsforschern besondere Aufmerksamkeit. Dazu gehören eine kritische Schwachstelle in Windows VMSwitch, CVE-2026-57092, die auf der CVSS-Skala mit 9,9 bewertet wurde, sowie kritische SharePoint-Probleme mit einer Bewertung von 9,8. Zu den weiteren bemerkenswerten Problemen zählen eine Cross-Site-Scripting-Schwachstelle in Exchange Server und Schwachstellen zur Remotecodeausführung in Remote Desktop Protocol, Windows DHCP Server, dem Windows-Server-Netzwerktreiber und Minecraft Bedrock Dedicated Server.

Das ungewöhnlich hohe Volumen folgt auf Microsofts Mitteilung, dass künstliche Intelligenz die Suche nach Schwachstellen beschleunigt. Pavan Davuluri, Executive Vice President für Windows, erklärte, dass das Unternehmen ein agentenbasiertes Scansystem mit mehreren Modellen namens MDASH einsetzt, um die Windows-Codebasis zu untersuchen und Fehler bereits in einer früheren Entwicklungsphase zu identifizieren.

Organisationen sollten die beiden ausgenutzten Schwachstellen und das öffentlich bekannt gemachte BitLocker-Problem priorisieren und anschließend die übrigen Updates anhand der Produktexposition, der Ausnutzbarkeit und der geschäftlichen Auswirkungen bewerten. Adobe veröffentlichte im selben Update-Zyklus separat Patches für 88 Schwachstellen, darunter kritische Fehler in ColdFusion, Commerce, Experience Manager und Illustrator.