Microsoft schließt im Juli 2026 rekordverdächtige 570 Sicherheitslücken – zwei davon werden aktiv ausgenutzt

Microsoft hat am 14. Juli die Sicherheitsupdates des Patch Tuesday für Juli 2026 veröffentlicht. Dabei wurde eine Rekordzahl von 570 Schwachstellen in Windows und der gesamten Produktpalette beseitigt. Die Aktualisierung umfasst drei Zero-Day-Lücken – von denen derzeit zwei in aktiven Angriffen ausgenutzt werden –, was diesen Patch Tuesday zu einem der dringendsten der jüngeren Vergangenheit macht.

Der schiere Umfang des Juli-Updates ist an sich schon bemerkenswert. Microsoft hatte bereits in der Vorwoche eine Erhöhung des Patch-Volumens angekündigt und dies auf ein neues, KI-gestütztes System zur Erkennung von Schwachstellen zurückgeführt, das Fehler im Windows-Code findet, bevor Angreifer dies tun können. Die KI-Tools zahlen sich bereits aus: Der Juni-Patch-Tuesday deckte 200 Lücken ab, der Juli verdreifacht diese Zahl nahezu.

Die zwei Zero-Days unter aktivem Beschuss

Die dringendsten Korrekturen betreffen zwei Privilege-Escalation-Lücken, die nachweislich in Live-Angriffen ausgenutzt werden:

• Active Directory Federation Services (AD FS): Eine unzureichende Zugriffskontroll-Schwachstelle, die es einem autorisierten lokalen Angreifer ermöglicht, auf Administratorrechte zu eskalieren. Das hauseigene Detection and Response Team (DART) von Microsoft – die Einheit für Incident Response – entdeckte den Fehler, was in der Regel bedeutet, dass er bei aktiven Sicherheitsvorfällen gefunden wurde.
• Microsoft SharePoint Server: Eine Fehler in der Authentifizierung, der es einem nicht authentifizierten Remote-Angreifer erlaubt, seine Rechte im Netzwerk zu erweitern. Forscher von Mandiant Incident Response und dem FLARE-Team von Google Cloud werden als Mitentdecker genannt – auch dies deutet darauf hin, dass die Lücke bei realen Incident-Response-Arbeiten identifiziert wurde.

Ein dritter Zero-Day – ein BitLocker-Bypass unter Windows, der physischen Zugriff erfordert – wurde öffentlich gemacht, ist aber bislang nicht als ausgenutzt bekannt.

Umfang des Updates

Von den 570 behobenen Schwachstellen sind 59 als Kritisch (Critical) eingestuft. Innerhalb dieser kritischen Kategorie ermöglichen 48 Remote Code Execution, neun sind Privilege-Escalation-Fehler, und zwei betreffen jeweils einen Security Bypass und ein Spoofing-Problem. Die Zahl von 570 beinhaltet nicht die 468 Chromium-Engine-Lücken, die Google in diesem Monat behoben hat und die auch in Microsoft Edge auftauchen, sowie die Korrekturen, die bereits Anfang Juli für Azure OpenAI, M365 Copilot, Exchange Online oder den Entra Provisioning Service ausgeliefert wurden.

Was Admins jetzt tun müssen

Die AD FS- und SharePoint-Zero-Days sind beide als ausgenutzt bestätigt, daher ist die Priorisierung dieser Patches für jede Organisation, die einen dieser Dienste betreibt, nicht verhandelbar. Speziell für SharePoint bietet Microsoft eine temporäre Absicherung an: Die Aktivierung der Antimalware Scan Interface (AMSI) auf dem Server und das Setzen des Request Body Scan Mode auf Full kann die Gefährdung reduzieren, bis der Patch installiert ist.

Nutzer von Windows 10 erhalten die Korrekturen über KB5099539, ein Extended Security Update. Windows-11-Rechner bekommen sie über KB5101650 und KB5099414. Wie immer sollten Unternehmensadministratoren vor der breiten Ausrollung in einer Staging-Umgebung testen – angesichts zweier aktiv ausgenutzter Zero-Days bleibt jedoch wenig Zeit für Abwägungen.

Wie zuerst von BleepingComputer berichtet, handelt es sich um den größten Patch Tuesday aller Zeiten. Der Trend dürfte sich fortsetzen, da Microsofts KI-gestützte Scan-Technologie eigenständig immer mehr Schwachstellen aufspürt – ein klarer Vorteil für Verteidiger, auch wenn der Update-Rhythmus dadurch anspruchsvoller wird.