Die Schwemme an Schwachstellenmeldungen macht auch vor Microsoft nicht halt. Die „Vulnocalypse“ nötigt das Unternehmen, am Juli-Patchday gleich 622 Schwachstellen in diversen Produkten aus dem Portfolio zu behandeln. Einige Schwachstellen waren bereits bekannt, andere werden schon im Netz aktiv angegriffen.
Microsoft liefert einen Überblick über die geschlossenen Schwachstellen am Patchday. Rund 60 der Sicherheitslücken stuft Microsoft als „kritisches“ Sicherheitsrisiko ein. Alleine in Windows haben die Entwickler sich demnach um 416 Schwachstellen gekümmert, darauf folgen Office und Office 2016 mit jeweils geschlossenen 82 Sicherheitslücken. Der Chromium-basierte Webbrowser Edge steuerte weitere 46 Sicherheitslecks zur Statistik bei. An fünfter Stelle findet sich bereits der SharePoint-Server mit 17 neuen CVE-Schwachstelleneinträgen, den es nun härter erwischt hat.
Bereits angegriffene Sicherheitslücken
Angreifer missbrauchen bereits eine fehlende Authentifizierung zur Ausweitung ihrer Rechte in SharePoint – dazu müssen sie zuvor nicht einmal angemeldet sein (CVE-2026-56164, CVSS 5.3, Risiko „mittel“). Davor warnt auch die US-amerikanische IT-Sicherheitsbehörde CISA. Die Behörde hat zudem eine dringende Anleitung veröffentlicht, nach der Admins ihre On-Premises-SharePoint-Server härten und gegen Angriffe schützen sollen. Auch in den Active Directory Federation Services (AD FS) machen sich Angreifer eine unzureichende Zugriffsrechte-Abstufung zunutze, um ihre Rechte in AD-Infrastrukturen auszuweiten (CVE-2026-56155, CVSS 7.8, Risiko „hoch“). Trend Micros Zero Day Initiative (ZDI) empfiehlt die zügige Prüfung und Installation des Patches, da die Lücke mit weiteren Codeschmuggel-Lücken zusammen etwa für Ransomware-Angriffe missbraucht werden kann.
