Auf den Punkt: Microsoft veröffentlicht im Juli 2026 621 CVEs – die größte Einzelveröffentlichung seiner Geschichte – wobei bereits zwei Schwachstellen aktiv ausgenutzt werden.
Microsofts Juli-Patchday 2026 überschreitet mit 621 neuen CVEs bereits zur Jahresmitte die Gesamtzahl aller bisherigen Jahresmeldungen. Mindestens zwei Schwachstellen werden bereits für Angriffe genutzt, darunter Lücken in Active Directory Federation Services und SharePoint.
Das Juli-Update 2026 stellt die bisherige Rekordmeldung von Microsoft dar: 621 neue CVEs wurden veröffentlicht, 63 davon als kritisch eingestuft. Die Veröffentlichung übertrifft damit bereits zur Jahresmitte die Gesamtzahl aller Schwachstellenmeldungen aus jedem einzelnen Vorjahr seit Beginn der Erfassung. Parallel werden zwei Sicherheitslücken bereits für Angriffe genutzt, was zu der Charakterisierung als „Bug-Apokalypse“ durch die TrendAI Zero Day Initiative führt.
Zwei aktiv ausgenutzte Schwachstellen erfordern sofortige Reaktion: CVE-2026-56155 in Microsoft Active Directory Federation Services zeigt eine unzureichende Zugriffskontrolle (CVSS 7,8) und kann mit lokalem Zugriff und geringen Berechtigungen ausgenutzt werden. CVE-2026-56164 in Microsoft SharePoint Server wird aktiv ausgenutzt, obwohl sie nur mit 5,3 bewertet ist – eine fehlende Authentifizierungsprüfung ermöglicht netzwerkbasierte Angriffe ohne Benutzerinteraktion. Internet-erreichbare SharePoint-Installationen sind dem unmittelbaren Risiko ausgesetzt.
Weitere kritische Schwachstellen konzentrieren sich auf Hyper-V, SharePoint, RDP und Netzwerk-Komponenten. CVE-2026-57092 im Windows VMSwitch (CVSS 9,9) nutzt einen Use-After-Free-Fehler und kann es Angreifern mit niedrigen Berechtigungen ermöglichen, die Grenze zwischen virtuellen Maschinen und dem Host-System zu überwinden. CVE-2026-50522 und CVE-2026-58644 in SharePoint ermöglichen Remote Code Execution (CVSS 9,8) durch fehlerhafte Deserialisierung ohne erforderliche Authentifizierung. CVE-2026-56190 (RDP), CVE-2026-50518 (DHCP Server) und CVE-2026-56188 (Network Driver) ermöglichen nicht authentifizierte Codeausführung über das Netzwerk.
Zusätzlich betroffen sind Microsoft Exchange Server (CVE-2026-55008 – gespeichertes XSS in Outlook Web Access), BitLocker (CVE-2026-50661 – Sicherheitsfunktion-Bypass) sowie überraschend auch Spiele-Titel wie Minecraft Bedrock Dedicated Server (nicht authentifizierte Remote Code Execution, CVSS 9,8). Die Veröffentlichung ist ungewöhnlich in ihrer Breite und betrifft auch Chromium sowie Microsoft Edge mit zahlreichen zusätzlichen Schwachstellen.
Quelle: www.it-daily.net · Erschienen 19. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.