REDMOND / LONDON (IT BOLTWISE) – Microsoft liefert das größte Patch-Tuesday-Paket seit Jahren: 622 CVEs, darunter zwei Zero-Days, die bereits in aktiven Angriffen ausgenutzt werden. Besonders kritisch sind dabei Rechteausweitungen in SharePoint Server und Active Directory Federation Services. Zwar handelt es sich nicht um die spektakulären Remote-Code-Execution-Fälle, aber die betroffenen Rollen sitzen tief im Authentifizierungs- und Dokumentenfluss. Wer die Exploit-Fenster verkleinern will, muss Prioritäten über CVSS hinaus an KEV/EPSS und den Ausnutzungsstatus ausrichten.
Microsoft hat zum Patch Tuesday erneut Maßstäbe gesetzt: Mit 622 behobenen Schwachstellen erreicht das Paket laut Security Update Guide den höchsten Umfang, der bislang gemessen wurde, und liegt damit deutlich über dem vorherigen Hoch im Juni von rund 200. Auffällig ist zudem die Timing-Komponente: Zwei der Fixes schließen Lücken, die bereits aktiv angegriffen werden. Beide sind Privilege-Elevation-Fehler in zentralen Identitäts- und Kollaborationsbausteinen. Damit verschiebt sich der operative Fokus vieler Teams weg von „Score-Showcases“ hin zu Systemen, die Tokens, Sessions oder Rollenmodelle prägen – also genau dort, wo ein Angreifer nach dem ersten Zugriff am schnellsten weiterkommt.
Technisch betrachtet betreffen die beiden Zero-Days zwei unterschiedliche Schichten. CVE-2026-56164 liegt in On-Premises SharePoint Server und ermöglicht einem unauthentifizierten Angreifer eine Rechteausweitung über das Netzwerk. Microsoft beschreibt das als bereits ausgenutzt und verweist bei der Einordnung auf Incident-Responder von Mandiant sowie auf die FLARE-Analyseumgebung von Google; detaillierte Exploit-Methoden und Tätergruppen nennt der Konzern jedoch nicht. CVE-2026-56155 betrifft Active Directory Federation Services (AD FS): Hier reicht ein bereits authentifizierter Angreifer, um über schwache Zugriffskontrollen lokal Privilegien zu erhöhen. Dass AD FS Tokens für nachgelagerte Vertrauensbeziehungen signiert, macht die „Local“-Einordnung strategisch dennoch hochrelevant.
Auch der Marktkontext erklärt, warum dieses Paket so viel Aufmerksamkeit verdient. In den vergangenen Monaten zeigte sich immer wieder, wie schnell Angriffs-Ketten nach dem Patch-Timestamp angepasst werden können: Viele Organisationen starten Tests erst nach dem Release, während Exploit-Autoren das Delta zwischen Builds nutzen, um passende Payloads zu bauen. Gleichzeitig liefern Plattformen wie Rapid7 oder ZDI häufig unabhängige Bewertungen, die die Praxis widerspiegeln: So ordnete Rapid7 Labs die nächste relevante SharePoint-Schaltstelle (CVE-2026-55040) aus ihrem Pwn2Own-Umfeld als eher mittel ein, während ZDI sie als kritisch mit deutlich höherem Schweregrad liest. In Summe ergibt das eine klare operative Lehre: Schweregrade auf CVSS-Basis verlieren bei 600+ Schwachstellen oft ihre Steuerungswirkung.
Ein weiterer historischer Kontextpunkt kommt hinzu: SharePoint ist seit Jahren ein bevorzugtes Ziel, weil erfolgreiche Angriffe selten bei der ersten Lücke enden, sondern über Ketten in weitere Komponenten übergreifen. Microsoft weist außerdem darauf hin, dass die Aktivierung von AMSI im Full-Modus auf dem Server die Angriffswirkung abmildern kann. Neben dem „Patch jetzt“ spielt aber auch der Lebenszyklus der Umgebung: SharePoint Server 2016 und 2019 stehen heute im Zeitraum des Endes der Extended Support-Phase. Anders als bei Windows Server oder SQL Server gibt es dafür keine gleichwertige bezahlte ESU-Option als Ausweichpfad. Wer diese Systeme noch selbst hostet, sollte die Patch- und Migrationsplanung deshalb als zusammenhängendes Programm behandeln, nicht als isoliertes Wartungsfenster.
Das Paket enthält zudem mehrere weitere Fixes, die zwar nicht als unmittelbare Notfall-Queue für Remote-RCE verstanden werden, aber dennoch Remediation-Arbeit bedeuten. CVE-2026-50661 ist ein BitLocker-Bypass, der zwar öffentlich offengelegt wurde, aber physische Zugriffsrechte am Gerät voraussetzt. Das macht ihn weniger „sprengend“ für sofortige Netzwerksicherung, doch das Timing fügt sich in eine Serie von BitLocker-Bypass-Funden, die in der Branche wiederholt Diskussionen um Offline-Angriffsmodelle auslösten. Daneben schließt Microsoft mit dem Juli-Rollout die mehrjährige Kerberos-RC4-Härtung ab: Die RC4DefaultDisablementPhase-Rollback-Schaltfläche fällt weg. Nach dem Update sollte RC4 nur noch für explizit konfigurierte Accounts funktionieren, andernfalls drohen Authentifizierungsfehler durch Service-Konten oder Legacy-Clients.
Gerade bei Kerberos ist die Reihenfolge der Maßnahmen entscheidend. Microsoft empfiehlt zunächst ein Audit der RC4-Verwendung über die im Januar ergänzten RC4-Audit-Events, dann das Rotieren der Passwörter für die markierten Service-Konten, damit Windows AES-Keys erzeugt, und erst danach das Patchen. Rotation allein hilft nur dort, wo die Umgebung bereits AES-Keys nicht besitzt oder nicht nutzt; wenn ein System weiter RC4 explizit anfordert, ist ein zusätzlicher Fix außerhalb des Updates notwendig. Das ist zwar weniger dramatisch als ein Zero-Day, kann aber gerade in Enterprise-Umgebungen zu kurzfristigen Betriebsstörungen führen – also zu genau dem Effekt, den viele Teams nachts per „War Room“-Prozess vermeiden wollen.
Warum wirkt das Ganze dennoch wie ein „quiet month, loud impact“? Juli gilt historisch oft als ein vergleichsweise leichter Monat im Microsoft-Kalender; umso deutlicher sticht heraus, dass Windows allein 416 der 622 CVEs umfasst und dass unabhängige Zählungen über ZDI hinweg auf eine sehr ähnliche Größenordnung kommen. Microsoft kündigte zudem bereits im Vorfeld an, dass durch KI-gestützte Scans eine höhere Dichte an enthaltenen Security-Fixes erwartet wird; besonders relevant: MDASH, das multi-modale agentische Scanning-System, identifizierte in einem vergangenen Patch-Turnus 16 der Fehler. Für die Zukunft bedeutet das zweierlei: schnellere Erkennungszyklen verbessern die Abwehr, gleichzeitig verkürzt sich nach dem Release das Zeitfenster für „wait a week“. Entsprechend rät die operative Logik: Priorisierung nach Ausnutzungsstatus über CVSS, Nutzung von KEV/EPSS und dem Microsoft-„exploited“-Flag, und eine Remediation, die den Exploit-Fußabdruck schneller reduziert, statt sich auf die nächste „Katalog-Notiz“ zu verlassen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft Patch Tuesday mit 622 Fixes: zwei aktiv ausgenutzte Zero-Days" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft Patch Tuesday mit 622 Fixes: zwei aktiv ausgenutzte Zero-Days" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft Patch Tuesday mit 622 Fixes: zwei aktiv ausgenutzte Zero-Days« bei Google Deutschland suchen, bei Bing oder Google News!