LONDON (IT BOLTWISE) – Microsoft hat das umfangreichste Patch Tuesday seit Langem veröffentlicht: 622 CVEs, darunter zwei Zero-Days, die bereits aktiv angegriffen werden. Im Fokus stehen CVE-2026-56164 in SharePoint Server und CVE-2026-56155 in Active Directory Federation Services. Beide betreffen keine klassischen Remote-Code-Execution-Szenarien, sondern Rechteausweitungen in Systemen, die für Identitäten und Token-Validierung zentral sind. Zusätzlich schließt Microsoft eine weitere Schwachstellenkette rund um JWT-Bypässe und räumt mit RC4-Kerberos-Altlasten auf.
Microsoft hat zum aktuellen Patch Tuesday nach eigenen Security-Update-Zahlen 622 Sicherheitslücken in einem Paket geschlossen. Das ist nicht nur ein Volumenrekord, sondern auch ein Signal an Sicherheits-Teams: Zwei der Fixes adressieren Zero-Days, die bereits in laufenden Angriffen genutzt werden. Besonders relevant ist, dass es sich bei den beiden Live-Bugs um Elevation-of-Privilege-Probleme handelt, also um das Hochskalieren von Berechtigungen statt um die berüchtigten „Sofort-RCE“-Schlagzeilen. Laut den bereitgestellten Hinweisen betrifft CVE-2026-56164 SharePoint Server in einer On-Premises-Umgebung, während CVE-2026-56155 Active Directory Federation Services (AD FS) in die Angriffssequenz integriert.
Technisch betrachtet lohnt sich die Priorisierung trotz niedrigerer CVSS-Werte. CVE-2026-56164 erlaubt einem Angreifer ohne Authentifizierung die Privilegeskalation über das Netzwerk. Microsoft beschreibt, dass kein Benutzerinteraktionsbedarf und keine gültigen Zugangsdaten erforderlich sind. Das macht die Schwelle zur Ausnutzung besonders niedrig, weil externe Scanner sofort prüfen können, ob die betroffene SharePoint-Konfiguration verwundbar ist. Microsoft führt die Entdeckung auf Incident-Response-Aktivitäten zurück, unter anderem durch Mandiant und die FLARE-Analysten von Google; zugleich nennt der Hersteller keine konkreten Einzelheiten zur Methodik. Für Betreiber bedeutet das: Patch-Reihenfolge zählt mehr als die reine Schwerekennzahl.
Die zweite Zero-Day-Komponente, CVE-2026-56155, zielt auf AD FS. Microsoft ordnet auch hier „exploited in the wild“ ein, beschreibt jedoch keinen klassischen Remote-Exploit. Stattdessen geht es um lokale Rechteausweitungen durch schwache Zugriffskontrollen. Damit rückt AD FS als „Token-Signatur- und Vertrauensanker“ in den Mittelpunkt: AD FS ist die Stelle, an der Identitäts- und SAML/OIDC-Token für nachgelagerte Vertrauensstellungen erzeugt und signiert werden. Ein Angriff, der auf einem solchen Knoten Privilegien hebt, kann folglich weiterreichende Folgen haben als eine rein lokale Schwachstelle. Branchenanalysten bewerten solche Identitätskomponenten regelmäßig als besonders risikoreich, weil sie zentrale Sicherheitsannahmen ganzer Enterprise-Ökosysteme berühren.
Historisch ist der SharePoint-Fokus kein Zufall. In den vergangenen Monaten standen wiederholt Microsoft-Serverplattformen im Zentrum von Angriffsserien, etwa im Umfeld von Ketten, die aus unzureichend gepatchten Komponenten neue Einstiegspunkte generieren. Auch in diesem Release adressiert Microsoft mehrere Problemklassen parallel, darunter einen öffentlich bekannten dritten Zero-Day (CVE-2026-50661) als BitLocker-Bypass, der jedoch zwingend physischen Zugriff benötigt und daher keinen „Remote-Notfall“-Charakter besitzt. Für August kündigt Microsoft außerdem weitere Arbeiten an: Ein separat gemeldeter RCE-Baustein soll dann die Lücke schließen, mit der ein zuvor veröffentlichter JWT-Authentication-Bypass eine vollständige Angriffskette bilden kann.
Auf der Marktebene unterstreicht diese Mischung aus bereits ausgenutzten Privilegslücken und wechselnder CVSS-Triage, wie schwierig „Risk Sorting“ bei 600+ CVEs geworden ist. ZDI (Zero Day Initiative) und Rapid7 Labs werden in der Auswertung häufig als unabhängige Quellen herangezogen; in diesem Kontext ordnen sie den JWT-Bypass unterschiedlich ein, wobei Rapid7 ihn auf einen mittleren Schweregrad setzt, während ZDI die Bewertung deutlich höher ansetzt. Entscheidend ist aber die Funktion: Der JWT-Authentication-Bypass wurde für eine Pwn2Own Berlin-Kette entwickelt und erlaubt zusammen mit einem noch nicht gepatchten RCE-Teil eine unauthentifizierte Remote Execution gegen eine verwundbare Server-Installation. Damit verschiebt sich die Relevanz von „wann ist es patched“ hin zu „welche Kette wird gerade gebrochen“ – und genau daran knüpft der aktuelle Update-Mix an.
Microsoft erweitert parallel den Verteidigungsumfang an einer zweiten Stelle: Mit der abschließenden Kerberos RC4-Härtung fällt ein Rollback-Schalter, der in der Vergangenheit als Escape Hatch diente. Konkret entfernt Microsoft im Rollout den „RC4DefaultDisablementPhase“-Rollback; nach der Aktualisierung funktioniert RC4 nur noch für Accounts, die explizit dafür konfiguriert sind. In der Praxis ist das ein typischer Enterprise-Fallstrick: Wenn Service-Accounts noch RC4-Tickets anfordern, kann Authentifizierung abrupt ausfallen, noch bevor Teams überhaupt verstehen, warum. Deshalb empfiehlt sich zuerst ein Audit der Microsoft-Events aus der RC4-Überwachungsphase, dann die Rotation der betroffenen Passwörter, sodass Windows AES-Keys generiert, und erst danach das Patchen. Rotation behebt nur das, was tatsächlich ohne AES-Keys konfiguriert ist.
Auch Datenschutz und regulatorische Aspekte spielen hier indirekt hinein, weil Patch-Fähigkeit und Logging-Fitness zunehmend audit-relevant sind. Microsoft weist zusätzlich darauf hin, dass eine Aktivierung von AMSI im „Full Mode“ auf dem Server die Ausnutzung von CVE-2026-56164 abmildern kann. Das ist vor allem für Organisationen mit engen Compliance-Anforderungen relevant, da sich Sicherheitsmaßnahmen nicht nur auf technische Fixes beschränken, sondern auch auf reduzierte Angriffsfläche und bessere Erkennung stützen. Ein weiterer Punkt: Weder der SharePoint- noch der AD-FS-Bug sind in der Known Exploited Vulnerabilities-Liste des U.S.-Katalogs (Stand der Berichterstattung) verzeichnet. Wer sich ausschließlich an solchen Listen orientiert, riskiert daher zeitliche Verzögerungen – und genau diese Lücke schließt die Einstufung „bereits aktiv ausgenutzt“ im Exploit-Kontext.
Für die Zukunft ist die strategische Linie klar: Durch Automation und mehr Modell-gestützte Scans kann Microsoft immer mehr Schwachstellen früher identifizieren. In einem Beitrag vom 9. Juli kündigte Microsoft für künftige Releases höhere Update-Volumina an und verwies darauf, dass agentische Multimodell-Scanning-Systeme (u.a. MDASH) im eigenen Prozess bereits Bugs in vorherigen Patch-Zyklen fanden. Gleichzeitig verschärft sich das Risiko der „Exploit-Sofortigkeit“: Angreifer können nach einem Patch die Unterschiede zum vorherigen Build analysieren und relativ schnell passende Exploits bauen, während viele Unternehmen noch im Testfenster stecken. Die wahrscheinlichste Konsequenz für Betreiber: Triage muss sich stärker an „exploited“-Status, EPSS/KEV-Ökosystem und beobachteter Ausnutzbarkeit orientieren – und weniger an der reinen CVSS-Zahl. Der aktuelle Release zeigt genau das: Nicht die höchste Zahl, sondern die aktuelle Kettenfähigkeit entscheidet.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Patch Tuesday mit 622 Fixes: Zwei Zero-Days in SharePoint und AD FS aktiv ausgenutzt" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Patch Tuesday mit 622 Fixes: Zwei Zero-Days in SharePoint und AD FS aktiv ausgenutzt" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Patch Tuesday mit 622 Fixes: Zwei Zero-Days in SharePoint und AD FS aktiv ausgenutzt« bei Google Deutschland suchen, bei Bing oder Google News!