Der Patchday im Juli 2026 geht als einer der umfangreichsten in die Geschichte von Microsoft ein. Nach Angaben des Herstellers schließt das Unternehmen in diesem Monat 622 CVEs, die Zero Day Initiative (ZDI) kommt bei ihrer eigenen Zählung auf 621 Schwachstellen. Beide Werte liegen damit deutlich über dem sonst üblichen monatlichen Durchschnitt.

Ergänzend dazu bringt Adobe an seinem zweiten Patchtag im Monat zwölf Bulletins mit insgesamt 88 CVEs heraus, unter anderem für ColdFusion, Commerce, Experience Manager und mehrere Creative-Cloud-Anwendungen.

Rekordzahl an Schwachstellen

Von den Microsoft-Lücken gelten 63 als kritisch, sechs als moderat und eine als niedrig eingestuft, der Rest fällt in die Kategorie „wichtig". Betroffen sind unter anderem Windows und Windows-Komponenten, Office, Azure, Exchange Server, .NET, GitHub Copilot, Hyper-V und Microsoft Edge.

Auffällig ist die schiere Bandbreite der betroffenen Produkte. Selbst Age of Empires II und ein Minecraft-Server tauchen in der Liste auf, was zeigt, wie tief Microsofts Software-Ökosystem inzwischen verzweigt ist. Laut ZDI übersteigt die Zahl der bislang in diesem Jahr veröffentlichten CVEs bereits die Jahressummen der vergangenen zwei Jahrzehnte.

Von den 622 Lücken sind rund 428 der Chromium-Basis von Microsoft Edge zuzuordnen und werden von Microsoft lediglich weiterveröffentlicht. Nach Einschätzung von Sicherheitsforschern entfallen aber weiterhin rund 21 Edge-Schwachstellen tatsächlich auf Microsofts eigenen Code und nicht auf zugrunde liegende Chromium-Komponenten.

Zwei Lücken bereits aktiv ausgenutzt

Besondere Aufmerksamkeit verdienen zwei Schwachstellen, die laut Microsoft bereits aktiv ausgenutzt werden. Die erste betrifft die Active Directory Federation Services (AD FS) und erlaubt eine Rechteausweitung, benötigt aber zunächst lokalen Zugriff mit geringen Rechten. Da AD FS zentrale Identitätsinfrastruktur ist, raten Sicherheitsexperten dazu, diesen Patch zügig zu testen und auszurollen.

Die zweite aktiv angegriffene Lücke steckt in Microsoft SharePoint Server und erhält trotz eines vergleichsweise niedrigen CVSS-Werts von 5,3 hohe Priorität, weil sie ohne Authentifizierung über das Netzwerk erreichbar ist. Zusätzlich gilt eine Schwachstelle in Windows BitLocker als öffentlich bekannt, auch wenn noch keine aktive Ausnutzung registriert wurde.

Den höchsten Schweregrad des Monats erreicht eine Rechteausweitung im Windows-VMSwitch mit einem CVSS-Wert von 9,9. Die Lücke erlaubt es Angreifern mit geringen Rechten, die Grenzen einer virtuellen Maschine zu durchbrechen und den zugrunde liegenden Host vollständig zu übernehmen, ein Szenario mit Relevanz für alle Hyper-V-Umgebungen.

Muster bei Dateisystemen, SharePoint und DHCP

Bei genauerer Betrachtung zeigen sich mehrere thematische Häufungen. Allein bei den Windows-Dateisystemtreibern NTFS und ReFS zählt die ZDI 21 Schwachstellen mit Ausführungs- oder Rechteausweitungspotenzial, ein ungewöhnlich großes Cluster für einen einzelnen Patchday.

Auch SharePoint Server sticht heraus: Zwei kritische RCE-Lücken mit CVSS-Wert 9,8 basieren auf unsicherer Deserialisierung, eine davon wurde laut ZDI bereits beim Hacking-Wettbewerb Pwn2Own in Berlin demonstriert. Hinzu kommt eine ganze Reihe an Spoofing-Schwachstellen, die überwiegend auf gespeichertem Cross-Site-Scripting beruhen.

Beim Netzwerkdienst DHCP schließt Microsoft insgesamt fünf Schwachstellen mit Ausführungsrisiko, mehrere davon ohne Authentifizierung aus dem Netz erreichbar. Auch der Remote-Desktop-Protokoll-Stack (RDP) und der Exchange-Webzugriff OWA erhalten kritische Patches gegen Fernzugriffe beziehungsweise browserbasierte Angriffe.

Ausblick auf den nächsten Patchday

Der nächste reguläre Patchday findet am 11. August 2026 statt, kurz nach der als "Hacker Summer Camp" bekannten Sicherheitskonferenz-Woche in Las Vegas. Angesichts der diesjährigen Entwicklung rechnen Beobachter auch für die kommenden Monate mit anhaltend hohen CVE-Zahlen.

Sicherheitsverantwortliche in Unternehmen wird empfohlen, sich bei der Priorisierung zunächst auf aktiv ausgenutzte und öffentlich bekannte Lücken zu konzentrieren, bevor der reguläre Patch-Zyklus für den Rest der Liste greift. Angesichts des Umfangs dürfte allein das Sichten der Update-Pakete in diesem Monat deutlich mehr Zeit beanspruchen als üblich.