Im Rahmen des im Juli dieses Jahres am „Patch Tuesday“ veröffentlichten Update-Pakets hat Microsoft mehr Sicherheitslücken als je zuvor behoben: Insgesamt wurden 570 Sicherheitslücken beseitigt, darunter auch drei Zero-Day-Schwachstellen, von denen zwei bereits aktiv ausgenutzt und eine öffentlich bekannt gegeben wurden.
Laut Microsoft ist es gelungen, so viele Sicherheitslücken aufzudecken, weil nun auch die Möglichkeiten der KI bei der Fehlersuche genutzt werden; aus diesem Grund könnten dank der effektiveren Erkennung künftig deutlich mehr Fehler behoben werden als bisher. Bezeichnend ist, dass von den genannten Schwachstellen insgesamt 59 die Einstufung „kritisch“ erhielten. Davon ermöglichten 48 die Ausführung von Code aus der Ferne, bei 9 konnte die Berechtigungsstufe erhöht werden, bei einer konnte eine Sicherheitsfunktion umgangen werden, während die verbleibende Schwachstelle für einen sogenannten Spoofing-Angriff genutzt werden konnte, d. h., sie ermöglichte Phishing.
Die vollständige Aufschlüsselung ist im Folgenden zu sehen:
- 254 Schwachstellen, die eine Erhöhung der Berechtigungsstufe ermöglichen
- 17 Schwachstellen, die Sicherheitsfunktionen umgehen
- 145 Schwachstellen, die eine Remote-Codeausführung ermöglichen
- 102 Schwachstellen, die zu Informationslecks führen
- 35 Schwachstellen, die zu einem Denial-of-Service führen
- 16 Schwachstellen, die Phishing ermöglichen
In der Liste befanden sich insgesamt drei Zero-Day-Schwachstellen, von denen eine – die unter der Kennung CVE-2026-50661 geführte Version – bereits öffentlich bekannt gegeben wurde. Über diese Schwachstelle konnte die Sicherheitsfunktion BitLocker umgangen werden, wodurch der Angreifer Zugriff auf die ansonsten verschlüsselten Daten erhielt. Laut Microsoft war für einen erfolgreichen Angriff physischer Zugriff auf das betreffende System erforderlich. Diese Schwachstelle wurde von einem anonym bleibenden Forscher entdeckt.
Zudem wurden zwei weitere Zero-Day-Schwachstellen behoben, die zuvor nicht öffentlich bekannt gegeben worden waren, deren Potenzial Angreifer jedoch aktiv auszunutzen versuchten – oft mit Erfolg. Die unter der Kennung CVE-2026-56155 aufgeführte Sicherheitslücke betrifft die Active Directory Federation Services (AD FS); über die es möglich war, höhere Berechtigungen zu erlangen; Microsoft hat jedoch – aus verständlichen Gründen – nicht offenbart, wie genau die Angreifer die in der Schwachstelle verborgenen Möglichkeiten ausnutzen konnten.
Die dritte Zero-Day-Sicherheitslücke ist unter der Kennung CVE-2026-56164 erfasst und ermöglicht im Fall von Microsoft SharePoint Server eine Erhöhung der Berechtigungsstufe. Bei dieser auch aus der Ferne ausnutzbaren Schwachstelle ließ sich die Angriffsfläche verringern, indem der Dienst „Antimalware Scan Interface“ auf dem Server aktiviert und anschließend im Modus „Request Body Scan“ die Einstellung „Full“ ausgewählt wurde. Auch in diesem Fall wurde nicht näher erläutert, mit welchen Methoden der Angreifer die in der Schwachstelle verborgenen Möglichkeiten genau ausnutzen konnte.
Aufgrund der oben genannten Punkte empfiehlt es sich, das im Rahmen des „Patch Tuesday“ im Juli veröffentlichte Update-Paket zu installieren, wobei es sich jedoch aufgrund früherer Erfahrungen lohnt, einige Tage abzuwarten, um festzustellen, ob es zu Fehlern kommt, die schwerwiegende Störungen verursachen, oder nicht. Informationen hierzu finden Sie unter anderem im „Windows Release Health Dashboard“ unter ; außerdem lohnt es sich, die Nachrichten und Foren im Auge zu behalten. Die neuen Update-Pakete sind über den Windows Update-Dienst verfügbar. Windows 10-Nutzer sind von etwa 300 der 570 Sicherheitslücken betroffen; sie erhalten die Korrekturen in Form des Update-Pakets „ “ (KB5099539,), während unter Windows 11 die kumulativen Updates „ “ (KB5101650,) und „ “ (KB5099414,) für die Versionen 25H2, 24H2 bzw. 23H2 bereitgestellt wurden.
