Microsoft Patchday Juli 2026: 642 CVEs, SharePoint und AD FS im Fokus

Am Dienstag, dem 14. Juli 2026, veröffentlichte Microsoft einen außergewöhnlich umfangreichen Patchday. Der aktuelle, nachträglich revidierte MSRC-Stand umfasst 642 eindeutige Microsoft-CVEs; zusätzlich veröffentlicht Microsoft 461 nicht von Microsoft vergebene Chromium-CVEs erneut, die nicht auf die 642 addiert werden sollten. Für den ursprünglichen Veröffentlichungsstand wurden – abhängig von Scope und Erfassungsmethode – bis zu 62 als „Critical“ eingestufte Schwachstellen gezählt. Am Patchday waren zwei Schwachstellen aktiv ausgenutzt und eine weitere öffentlich bekannt. Bis zum Informationsstand dieses Beitrags kennzeichnet Microsoft drei CVEs als aktiv ausgenutzt; CISA führt mit CVE-2026-50522 eine vierte Juli-Schwachstelle im KEV-Katalog, deren aktive Ausnutzung Microsoft derzeit nicht bestätigt. Am stärksten betroffen sind Windows mit 422, Office mit 82, Edge mit 47 und SharePoint Server mit 17 Microsoft-CVEs. Operativ haben internetexponierte SharePoint-Farmen, AD-FS-Systeme und zentrale Infrastrukturserver Vorrang vor dem regulären Client-Rollout. (Microsoft Security Response Center)

1. Überblick

Einordnung und belastbare Zählweise

Die im Juli veröffentlichten Schwachstellenzahlen unterscheiden sich ungewöhnlich stark. Das liegt nicht allein an Fehlern in Sekundärberichten, sondern vor allem an unterschiedlichen Stichtagen, der getrennten Behandlung von Edge- und Chromium-CVEs, Cloud-only-Schwachstellen, nachträglichen MSRC-Revisionen und mehrfach aufgeführten Office-Servicing-Zweigen.

Auch die Zahl kritischer Schwachstellen variiert zwischen 56, 57, 59, 62 und vereinzelt 63. Für die Ausgangsbasis dieses Beitrags werden 62 ursprünglich als Critical erfasste CVEs verwendet. Davon betreffen fünf reine Cloud-Dienste, bei denen Microsoft keine kundenseitige Patchinstallation verlangt. Einige Auswertungen behandeln darüber hinaus den Minecraft Bedrock Dedicated Server nicht als direkt erforderliche Kundenaktion und kommen deshalb auf 56 statt 57 handlungsrelevante Critical-Einträge. Der aktuelle MSRC-Release-Note-Stand von 642 veröffentlicht keine entsprechend revidierte Schweregradverteilung; eine pauschale Aussage „62 von 642“ wäre deshalb ohne diesen Hinweis ungenau. (Microsoft Security Response Center)

Verteilung der aktuell 642 Microsoft-CVEs

Die zusätzlich in der Microsoft-Tabelle angezeigten 82 Office-2016-Einträge bilden einen separaten Updateweg derselben Office-Schwachstellen ab. Sie dürfen nicht erneut in die Gesamtsumme aufgenommen werden. (Microsoft Security Response Center)

Entwicklung der Exploit-Lage

Die von CISA gesetzten Fristen – 17. Juli für CVE-2026-56164, 19. Juli für CVE-2026-58644, 25. Juli für CVE-2026-50522 und 28. Juli für CVE-2026-56155 – sind verbindlich für die betroffenen US-Bundesbehörden. Für Unternehmen außerhalb dieses Geltungsbereichs stellen sie dennoch ein belastbares Dringlichkeitssignal dar. (CISA)

2. Kritische Schwachstellen im Fokus

Prioritätsmodell

• P0 – sofortige Incident-Response-Priorität: Aktive Ausnutzung, KEV-Aufnahme oder konkrete Hinweise auf eine mögliche Kompromittierung.
• P1 – höchste Deployment-Priorität: Remote ausnutzbare Schwachstellen in exponierten oder zentralen Unternehmensdiensten, idealerweise innerhalb von 24 bis 72 Stunden nach Freigabe.
• P2 – beschleunigter Standard-Rollout: Benutzerinteraktion, lokale Vorbedingungen oder eingeschränkte Angriffsreichweite; Rollout über Pilot- und Produktionsringe.
• P3 – Statusprüfung: Cloudseitig behobene Schwachstellen oder Produkte ohne klassische lokale Patchinstallation.

Da der Informationsstand bereits knapp zwei Wochen nach dem Patchday liegt, gelten ausstehende P0- und P1-Maßnahmen nicht mehr als reguläre Patchplanung, sondern als überfällige Risikobehandlung.

Aktiv ausgenutzte und öffentlich bekannte Schwachstellen

Bei CVE-2026-50522 besteht eine relevante Quellenabweichung: CISA führt die Schwachstelle aufgrund bestätigter Ausnutzung im KEV-Katalog. Microsoft markiert sie im aktuellen CSAF-Datensatz dagegen weiterhin als „Exploited: No“. Die aktive Ausnutzung ist damit durch CISA bestätigt, aktuell aber nicht durch Microsoft. (Microsoft Security Response Center)

Für eine teilweise diskutierte Zuordnung von CVE-2026-50661 zu extern benannten BitLocker-Exploitketten gilt: Aktuell keine Bestätigung durch Microsoft.

Alle ursprünglich als „Critical“ erfassten Schwachstellen

Die folgenden Tabellen bilden die 62 Critical-CVEs des ursprünglichen Juli-Datensatzes ab. Der Angriffsvektor wird aus Gründen der Lesbarkeit kompakt angegeben. Soweit nicht ausdrücklich anders vermerkt, bestand im ausgewerteten Microsoft-Datensatz zum Informationsstand keine Kennzeichnung als aktiv ausgenutzt oder öffentlich bekannt.

Kritische Server-, Netzwerk- und Infrastruktur-CVEs

Die Netzwerk- und Infrastrukturgruppe enthält mehrere Schwachstellen, bei denen ein hoher CVSS-Wert mit einer besonders attraktiven Serverrolle zusammentrifft. Die höchste operative Relevanz entsteht bei SharePoint, DHCP, Domänendiensten, AD CS, WSUS, RDP, Hyper-V und öffentlich erreichbaren SSTP-Endpunkten. (CrowdStrike.com)

Kritische Client-, Office-, Medien- und Endpoint-CVEs

Insbesondere in RDS-Farmen, auf administrativen Arbeitsplätzen und auf Systemen, die E-Mail-Anhänge oder Dokumente mit erhöhten Rechten verarbeiten, ist die praktische Relevanz der Office- und Medienlücken höher als auf standardisierten Benutzerendgeräten. Das Vorschaufenster ist bei zwölf der aufgeführten Office- und Word-CVEs bereits als Angriffsfläche ausreichend; ein bewusstes Öffnen des Dokuments ist dort nicht zwingend erforderlich. (Cisco Talos Blog)

Kritische Cloud- und Service-CVEs

Dass Microsoft CVE-2026-26145 trotz eines CVSS-Basiswerts von 4,8 als Critical einstuft, zeigt die Grenzen einer rein scorebasierten Priorisierung. Produktkontext, mögliche Mandanten- oder Vertrauensgrenzen und die Microsoft-Schweregradeinstufung bleiben zusätzlich zu berücksichtigen. (CrowdStrike.com)

Weitere Schwachstellen mit hoher Unternehmensrelevanz

Die wichtigste nicht als Critical eingestufte RCE ist CVE-2026-56190 im Windows Remote Desktop Protocol Server. Mit CVSS 9,8 ist die Lücke unauthentifiziert über das Netzwerk und ohne Benutzerinteraktion ausnutzbar. Microsoft bewertet sie dennoch als Important. Systeme, auf denen Network Level Authentication deaktiviert ist oder RDP direkt aus nicht vertrauenswürdigen Netzen erreichbar bleibt, sollten mit P1 behandelt werden. (CrowdStrike.com)

Daneben verdienen auch Rechteausweitungen in Windows Admin Center, Kernel-, Dateisystem- und Treiberkomponenten erhöhte Aufmerksamkeit. Sie sind vor allem als zweite Stufe einer Angriffskette relevant: Nach initialem Zugriff über Phishing, RDP, SharePoint oder eine Webanwendung kann eine lokale EoP-Lücke die Übernahme von SYSTEM-Rechten und die weitere Ausbreitung ermöglichen.

3. Betroffene Systeme und Updates

Windows-Clients und Windows Server

Microsoft dokumentiert für Windows 11 24H2 Home und Pro ein Supportende am 13. Oktober 2026; Enterprise und Education bleiben bis 12. Oktober 2027 unterstützt. Für längerfristige Rolloutplanung sollte 24H2 Home/Pro daher nicht als dauerhafte Zielplattform betrachtet werden. (Microsoft Support)

SharePoint Server

CVE-2026-58644 wurde bereits durch die Juni-Updates in den Builds 16.0.5556.1005, 16.0.10417.20153 beziehungsweise 16.0.19725.20384 korrigiert, aber erst im Juli als aktiv ausgenutzte CVE eingeordnet. Die Juli-Updates überholen diese Mindeststände und enthalten zugleich die weiteren Juli-Korrekturen. Die Prüfung darf deshalb nicht bei der Feststellung „Juni-CU installiert“ enden. Der Zielzustand ist der aktuelle Juli-Build oder ein späteres kumulatives Update. (Microsoft Security Response Center)

Nach der Binärinstallation muss PSConfig auf allen Farmservern erfolgreich abgeschlossen werden. Für die Subscription Edition dokumentiert Microsoft anschließend derzeit folgende Einstellung, um eine noch in Entwicklung befindliche Defense-in-Depth-Prüfung zu deaktivieren, die eine Regression auslösen kann:

$farm = Get-SPFarm

$farm.DisableActorTokenAudienceValidation = $true

$farm.Update()

Bestehende Actor-Token-Prüfungen bleiben laut Microsoft aktiv. Diese Einstellung ist kein Ersatz für die Sicherheitsupdates. (Microsoft Support)

Exchange Server

Die Updates adressieren unter anderem CVE-2026-55005, CVE-2026-55006, CVE-2026-55008 und CVE-2026-55009. Exchange 2016 und 2019 erhalten diese Korrekturen 2026 nur noch im vorgesehenen Extended-Security-Update-Kontext. Umgebungen außerhalb dieses Berechtigungs- und Supportmodells benötigen eine beschleunigte Migration auf Exchange Server Subscription Edition oder eine andere unterstützte Zielarchitektur. Nach Installation ist der Exchange Server Health Checker auszuführen; zusätzlich sind Extended Protection, Zertifikatsbindungen, Mailflow und Hybridfunktionen zu kontrollieren. (Microsoft Support)

Office und SQL Server

Für Office enthält der aktuelle MSRC-Datensatz 82 eindeutige CVEs. Microsoft 365 Apps sollten über den jeweils freigegebenen Updatekanal auf den aktuellen Sicherheitsstand gebracht werden. Bei MSI-basierten Office-Installationen und Office 2016 sind die einzelnen Produktupdates anhand des Microsoft-Office-Updateindex zuzuordnen. Die 82 separat ausgewiesenen Office-2016-Einträge sind kein zweites Schwachstellenpaket, sondern ein eigener Servicing-Pfad. (Microsoft Security Response Center)

Für SQL Server enthält der Juli-Datensatz acht CVEs. Bei SQL Server 2025 stehen unter anderem der GDR-Zweig KB5102333, Build 17.0.1125.2, und der CU6-Zweig KB5101346, Build 17.0.4060.2, zur Verfügung. Die Auswahl muss dem vorhandenen Servicing-Zweig entsprechen; ein Wechsel zwischen GDR und CU sollte nicht unbeabsichtigt über das Patchmanagement erfolgen. CVE-2026-54117 und CVE-2026-54118 ermöglichen einem bereits authentifizierten Benutzer mit expliziten Berechtigungen eine Codeausführung und eine Erhöhung bis zum SQL-sysadmin-Kontext. (Microsoft Support)

Bekannte Probleme und nachträgliche Korrekturen

Dell-Geräte mit Intel Innovation Platform Framework

KB5101650 wurde vorübergehend für eine begrenzte Zahl von Dell-Geräten mit Intel-IPF-Treiber zurückgehalten. Mögliche Auswirkungen waren veränderte Leistungsaufnahme, Temperaturentwicklung, Leistungseinbrüche oder unerwartetes Systemverhalten. Microsoft veröffentlichte am 18. Juli KB5121767 als kumulatives Out-of-Band-Update. Es ist nur für tatsächlich betroffene Geräte vorgesehen. Nicht betroffene Systeme benötigen dieses optionale OOB-Paket nicht. (Microsoft Support)

WSUS-Synchronisation und Timeouts

Seit etwa 13. Juli konnten übermäßig angewachsene oder fehlerhafte Detectoid-Metadaten zu langsamen WSUS-Synchronisationen, Timeouts und fehlgeschlagenen Clientscans führen. Microsoft stellte am 18. Juli serverseitig eine Mitigation bereit. Diese verhindert das Problem bei neuen oder neu aufgebauten WSUS-Installationen; bereits betroffene Datenbanken können weiterhin eine Bereinigung benötigen. Vor jedem von Microsoft beschriebenen Cleanup ist zwingend eine Sicherung der SUSDB anzulegen, da gelöschte Metadaten ohne Backup nicht wiederhergestellt werden können. Typische Clientfehler sind 0x80244010, 0x8024400E, 0x80244007, 0x80244022, 0x80240439 und 0x80072EE2. (Microsoft Support)

SharePoint-Authentifizierung und Workflows

In SharePoint-Farmen mit mehreren Web-Frontends und Trusted-Provider- oder Forms-Authentifizierung können nach dem Update wiederholte Anmeldeaufforderungen auftreten. Microsoft empfiehlt als vorläufige Abhilfe Sticky Sessions am Reverse Proxy. Die Eigenschaft SessionCookieTransformProtectionEnabled sollte nicht zur Umgehung deaktiviert werden. Zusätzlich dokumentiert Microsoft Probleme mit einzelnen Workflowstatus-Seiten beziehungsweise älteren Workflows; die versionsspezifischen KB-Hinweise sind vor dem Farm-Rollout zu prüfen. (Microsoft Support)

Offline-Images und boot.stl

Beim Einspielen dynamischer Updates in bestehende Windows-Installationsmedien muss eine zum Betriebssystem und zur Architektur passende Datei boot.stl enthalten sein. Fehlt sie, kann der Start des Mediums mit Fehler 0xc0430001 scheitern. Dies betrifft insbesondere gepflegte WinPE-, Autopilot-, Bare-Metal- und Recovery-Images. (Microsoft Support)

Windows Server 2022 und BitLocker

Microsoft dokumentiert für Windows Server 2022 bei einer nicht empfohlenen BitLocker-Gruppenrichtlinienkonfiguration mit expliziter PCR7-Auswahl eine mögliche einmalige Wiederherstellungsabfrage. Vor Cluster- oder Remote-Rollouts müssen Wiederherstellungsschlüssel nachweisbar gesichert und der Konsolenzugriff geklärt sein. (Microsoft Support)

Exchange Hybrid

In Hybridumgebungen können seit dem Juni-Sicherheitsupdate Wrapper-Nachrichten in freigegebenen Postfächern sichtbar werden. Das Juli-SU verweist weiterhin auf dieses bekannte Problem. Neben dem Health Checker sollten deshalb OWA, freigegebene Postfächer, Hybridmailflow und Kalenderdelegationen explizit in den Funktionstest aufgenommen werden. (Microsoft Support)

4. Technische Analyse und Exploit-Szenarien

SharePoint: Vom externen Zugriff bis zur dauerhaften Persistenz

Die SharePoint-Lage ist nicht als isolierte Einzel-CVE zu betrachten. CISA meldet aktive Ausnutzung von CVE-2026-32201, CVE-2026-45659, CVE-2026-56164 und CVE-2026-58644 gegen lokale SharePoint-Instanzen. Hinzu kommt die spätere KEV-Aufnahme von CVE-2026-50522. Die Kombination aus fehlender Authentifizierung, Rechteausweitung, Sicherheitsfunktions-Bypass und unsicherer Deserialisierung ermöglicht mehrere mögliche Angriffspfade. (CISA)

Ein plausibles Szenario für eine internetexponierte Farm ist:

1. Identifikation eines erreichbaren SharePoint-Web-Frontends und einer verwertbaren Version oder Konfiguration.
2. Umgehung einer Authentifizierungs- oder Autorisierungsgrenze.
3. Übermittlung eines präparierten Requests an eine anfällige SharePoint-Funktion.
4. Ausführung von Code im Kontext des IIS-Worker-Prozesses w3wp.exe.
5. Ablage einer Webshell, Manipulation von Konfigurationen oder Zugriff auf Farm- und Datenbankverbindungen.
6. Diebstahl von IIS-Machine-Keys oder anderem kryptografischem Material, um auch nach der Installation von Updates gültig erscheinende Payloads oder Sitzungstoken erzeugen zu können.
7. Seitliche Bewegung zu SQL Servern, Servicekonten, Dateifreigaben oder Active Directory.

Der genaue Ablauf hängt von Farmversion, Patchstand, Authentifizierungsmodell und vorgeschalteten Komponenten ab. Die beschriebene Kette ist eine risikobasierte Ableitung aus den durch CISA dokumentierten Post-Exploitation-Aktivitäten und keine Aussage, dass jede beobachtete Kompromittierung alle Schritte umfasst. (CISA)

Folgerung für die Betriebsführung: Bei einer direkt aus dem Internet erreichbaren und zum Angriffszeitpunkt ungepatchten SharePoint-Instanz reicht die nachträgliche Installation des CU nicht aus. Das System muss bis zum Abschluss einer Kompromittierungsprüfung als potenziell betroffen behandelt werden. Patchen schließt die Eintrittsstelle, entfernt aber keine bereits installierte Webshell und macht gestohlene Machine Keys nicht wieder geheim.

CISA empfiehlt unter anderem:

• AMSI für jede Webanwendung aktivieren und den Request-Body-Scan auf Full setzen.
• SharePoint nicht direkt aus dem Internet bereitstellen, sondern über authentifizierenden Reverse Proxy oder Layer-7-Gateway führen.
• Central Administration niemals extern veröffentlichen.
• Kommunikation zwischen Farmservern und Datenbanken auf notwendige Verbindungen beschränken.
• Vor der Rotation von IIS-Machine-Keys nach Webshells, verdächtigen Requests und weiterer Persistenz suchen.
• Nach einer möglichen Kompromittierung Machine Keys, Servicekonto-Zugangsdaten und weitere erreichbare Geheimnisse kontrolliert erneuern.
• Defender-Erkennungen wie Exploit:Script/SuspSignoutReqBody.A, Exploit:Script/ToolPaneAuthBypass.A, Exploit:Script/ToolPaneAuthBypass.C und Backdoor:MSIL/LeakFang.A!dha auswerten. (CISA)

AD FS: Rechteausweitung in der Identitätsinfrastruktur

CVE-2026-56155 betrifft die Berechtigungen des Distributed-Key-Manager-Containers. Dort liegen symmetrische Schlüssel, mit denen AD FS unter anderem privates Token-Signing- und Token-Encryption-Schlüsselmaterial schützt. Ist die ACL zu weit gefasst, kann ein bereits autorisierter lokaler Angreifer seine Rechte ausweiten und Zugang zu hochkritischem Identitätsmaterial erhalten.

Das Juli-Update versetzt AD FS zunächst in einen Auditmodus. Die Prüfung läuft beim Dienststart und anschließend alle 24 Stunden:

Im sicheren Zielzustand haben nur Domain Admins, Enterprise Admins, SYSTEM und das AD-FS-Dienstkonto Zugriff. Auf Windows Server 2016 und höher kann die Remediation über den DWORD-Wert RemediateDkmAcl=1 unter HKLM\SOFTWARE\Microsoft\ADFS aktiviert werden. Microsoft plant ab dem Update vom 13. Oktober 2026 eine automatische Remediation, sofern sie nicht ausdrücklich mit dem Wert 0 deaktiviert wird. Für Windows Server 2012 und 2012 R2 gelten zusätzliche Berechtigungsschritte; dort findet keine automatische Oktober-Remediation statt. (Microsoft Support)

Für AD-FS-Farmen ergibt sich folgende Reihenfolge:

1. Juli-Update auf sämtlichen Knoten installieren.
2. Ereignisse 1132 bis 1136 auf allen Farmmitgliedern zentral erfassen.
3. Aktuelle ACL und Dienstkontenabhängigkeiten dokumentieren.
4. Bei Ereignis 1132 die Remediation zunächst in einer repräsentativen Umgebung testen.
5. Nach erfolgreicher Remediation die in Ereignis 1135 enthaltene vorherige SDDL außerhalb des Servers sichern.
6. Token-Ausstellung, Claims Rules, WAP-Anbindung, Entra-Föderation und Zertifikatswechsel testen.

Domänencontroller, AD CS, DHCP und WSUS

CVE-2026-49164 in Active Directory Domain Services erhöht die Bedeutung eines frühen Domänencontroller-Rollouts. Trotz hoher Angriffskomplexität ist der unauthentifizierte Netzwerkvektor in Verbindung mit der zentralen Stellung eines DC ausschlaggebend. Updates sollten standort- und rollenweise installiert werden: zuerst ein DC mit funktionierender Replikation und gesicherten System-State-Backups, anschließend Replikationsprüfung, DNS-, Kerberos- und Netlogon-Tests, danach die verbleibenden DCs.

CVE-2026-54121 in AD CS ist besonders relevant, wenn Zertifikatdienste mit breiten Enrollment-Rechten, Web Enrollment, NDES/SCEP oder privilegierten Templates betrieben werden. Nach dem Update sollten fehlgeschlagene Enrollment-Vorgänge, ausstehende Zertifikatsanforderungen und die Funktionsfähigkeit von Smartcard-, VPN- und Geräteauthentifizierung geprüft werden.

Die DHCP-CVEs CVE-2026-50518 und CVE-2026-56159 sind ohne Authentifizierung über das Netzwerk ausnutzbar. In hochverfügbaren DHCP-Failover-Paaren empfiehlt sich ein kontrollierter, sequenzieller Rollout mit vorheriger Prüfung des Replikationsstatus. DHCP-Auditlogs, Failover-State, Scope-Auslastung und Option-43-Nutzung sollten nach jedem Knoten kontrolliert werden.

WSUS ist sowohl durch CVE-2026-50444 als auch durch die im Juli beobachteten Synchronisationsprobleme betroffen. Ein fehlerfreier Patchdownload allein bestätigt daher noch keinen funktionierenden Deployment-Pfad. Zusätzlich sind SUSDB-Zustand, Synchronisationsdauer, IIS-App-Pool, Clientscan-Fehler und die tatsächliche Update-Compliance zu prüfen.

RDS und administrative Systeme

Zwei unterschiedliche RDP-Risiken sind zu unterscheiden:

• CVE-2026-56190 betrifft den RDP-Server und kann bei unzureichend abgesicherten Systemen eine unauthentifizierte Codeausführung ermöglichen.
• CVE-2026-50474 betrifft den RDP-Client. Ein Angreifer kontrolliert dabei einen präparierten RDP-Server und kompromittiert einen Administrator, der sich dorthin verbindet.

Für RDS-Farmen bedeutet das: Network Level Authentication erzwingen, direkte Internetfreigaben vermeiden, RD Gateway und MFA verwenden, administrative Verbindungen von Benutzer-RDS-Sitzungen trennen und sowohl Session Hosts als auch Admin-Workstations priorisiert aktualisieren. Die Office-Schwachstellen mit Vorschaufenstervektor erhöhen das Risiko auf RDS-Systemen zusätzlich, weil viele Benutzer denselben Serverkontext und dieselben Applikationskomponenten verwenden.

Hyper-V, VMSwitch und HA-Cluster

CVE-2026-57092 im VMSwitch, CVE-2026-50382 im DirectX Graphics Kernel sowie CVE-2026-50680 und CVE-2026-54127 in Hyper-V betreffen unterschiedliche Virtualisierungsgrenzen. Besonders CVE-2026-57092 erreicht CVSS 9,9 und kann einen Übergang aus einem niedrig privilegierten Gastkontext zum Host ermöglichen.

Für Hyper-V- und Failover-Cluster sollte der Rollout deshalb nicht bis zum Ende des normalen Serverfensters zurückgestellt werden. Erforderlich sind:

• Kapazitätsprüfung für den Betrieb mit einem Knoten weniger.
• Live Migration beziehungsweise kontrolliertes Herunterfahren nicht migrierbarer Workloads.
• Update eines Pilotknotens.
• Validierung von Cluster Service, CSV, Storage, virtuellen Switches, SDN-Komponenten und Backup-Agenten.
• Erst danach sequenzieller Rollout auf die restlichen Knoten.
• Abschließende Prüfung, dass keine VM dauerhaft auf einem ungepatchten Knoten verbleibt.

VM-Snapshots sind kein Ersatz für applikationskonsistente Sicherungen der ausgeführten Domänencontroller, SQL-, Exchange- oder SharePoint-Workloads.

Exchange, Office und SQL Server

Bei Exchange ist CVE-2026-55008 wegen der Kombination aus unauthentifizierter Zustellung, OWA und möglicher JavaScript-Ausführung im Browserkontext besonders relevant. Vor dem Rollout sollten DAG-Zustand, Replikationsqueues, Load-Balancer-Drain und Zertifikatsbindungen dokumentiert werden. Nach jedem Knoten sind Mailflow, OWA, ECP, Autodiscover, ActiveSync, Hybrid und Extended Protection zu testen.

Die Office-RCEs betreffen vielfach bereits das Vorschaufenster. Administrative Systeme sollten daher nicht ausschließlich auf Benutzerdisziplin verlassen. Anhänge und Downloads müssen durch Mailgateway, Defender, Attack Surface Reduction, Protected View und Mark-of-the-Web geschützt bleiben. Auf Managementservern ist eine lokale Office-Installation grundsätzlich auf Notwendigkeit zu prüfen.

Die SQL-CVEs setzen vorhandene Anmeldung und Berechtigungen voraus. In gemeinsam genutzten Datenbankinstanzen, Entwicklungsumgebungen oder Systemen mit breiten Applikationskonten ist dies dennoch realistisch. Vor dem SQL-Patching sind Full Backups, Log Backups, AG-/Clusterzustand, Agent Jobs, Linked Server und verwendete ODBC/OLE-DB-Treiber zu prüfen. Microsoft dokumentiert für einzelne Zweige zudem ein mögliches MSDASQL-/Linked-Server-Problem; entsprechende Integrationen gehören in den Pilotbetrieb.

5. Empfohlene Maßnahmen und Checkliste

Risikobasierte Deployment-Reihenfolge

Backup und Rollback

• Aktuelle und wiederherstellbare Sicherungen nachweisen; ein erfolgreicher Backupjob allein genügt nicht.
• Vor AD-FS-ACL-Änderungen den vorhandenen SDDL-Stand sichern.
• Für Domänencontroller aktuelle System-State-Sicherungen und funktionierende Replikation bestätigen.
• SharePoint-Content-Datenbanken, Farmkonfiguration, Suchtopologie und erforderliche Verschlüsselungsinformationen sichern.
• Vor SQL-Updates Full- und Transaktionslog-Backups sowie AG-/Clusterzustand prüfen.
• Für Exchange Wiederherstellungsverfahren, Installationsmedien, Konfiguration und Zertifikate dokumentieren; VM-Snapshots nicht als primären Rollbackmechanismus einsetzen.
• BitLocker-Recovery-Keys vor Remote- oder Cluster-Rollouts zentral und zugriffsgeschützt nachweisen.
• Bei WSUS vor der empfohlenen Metadatenbereinigung zwingend die SUSDB sichern.

Deployment und technische Validierung

• CMDB beziehungsweise Asset-Inventar gegen tatsächlich erreichbare SharePoint-, AD-FS-, RDP-, DHCP-, SQL- und Exchange-Systeme abgleichen.
• Internetexposition nicht nur anhand dokumentierter Firewallregeln, sondern durch externe Prüfung verifizieren.
• Pro Betriebssystem- und Rollenklasse mindestens einen repräsentativen Pilotknoten verwenden.
• Bei SharePoint alle Farmserver mit demselben kumulativen Stand versehen und PSConfig vollständig abschließen.
• SharePoint-Builds gegen 16.0.19725.20434, 16.0.10417.20175 beziehungsweise 16.0.5561.1001 oder einen höheren Stand prüfen.
• Exchange-Build, Health Checker, Mailflow, Hybrid und Extended Protection kontrollieren.
• Auf AD FS die Ereignisse 1132 bis 1136 auswerten.
• Für Windows 11 prüfen, ob betroffene Dell-Geräte KB5121767 statt eines manuellen Erzwingens von KB5101650 benötigen.
• Gepflegte Offline- und WinPE-Images auf eine passende boot.stl-Datei kontrollieren.
• WSUS- und MECM-Compliance nicht nur anhand der Updatefreigabe, sondern anhand erfolgreicher Clientscans und installierter Builds messen.
• Hyper-V- und Failover-Cluster erst schließen, wenn sämtliche Knoten aktualisiert und wieder voll funktionsfähig sind.

Monitoring und Kompromittierungsprüfung

Für SharePoint sind mindestens folgende Signale zu korrelieren:

• Ungewöhnliche POST-Requests an administrative oder ToolPane-bezogene Endpunkte.
• Neu angelegte oder veränderte ASPX-Dateien.
• Verdächtige Child-Prozesse von w3wp.exe.
• PowerShell-, cmd.exe-, rundll32.exe- oder Script-Interpreter-Aufrufe aus dem IIS-Kontext.
• Zugriffe auf Machine Keys, web.config, Farmpassphrasen oder Dienstkontenanmeldeinformationen.
• Ungewöhnliche SQL-Abfragen und Verbindungen vom SharePoint-Servicekonto.
• Die von CISA genannten Defender-Erkennungen.
• Neue geplante Aufgaben, Dienste, lokale Konten und persistente IIS-Module.

Für AD FS sind zusätzlich ungewöhnliche Tokenausstellungen, Änderungen an Claims Rules, Zertifikaten, Relying Parties und WAP-Konfigurationen zu prüfen. Ereignis 1132 ist nicht nur als Patchhinweis, sondern als konkrete Abweichung vom erwarteten DKM-Sicherheitszustand zu behandeln.

Für Windows- und Serverrollen sollten EDR-Telemetrie, Dienstabstürze, neue SYSTEM-Prozesse, RDP-Anmeldeereignisse, DHCP-Anomalien, WSUS-Fehlercodes sowie Hyper-V- und Clusterereignisse in die Nachkontrolle einfließen.

Zusätzliche Hardening-Maßnahmen

• SharePoint nicht direkt aus dem Internet veröffentlichen.
• Central Administration ausschließlich aus administrativen Netzen erreichbar machen.
• AMSI in allen SharePoint-Webanwendungen aktivieren und Request-Body-Scanning auf Full setzen.
• Reverse Proxy oder Layer-7-Gateway mit vorgelagerter Authentifizierung einsetzen.
• RDP nur über RD Gateway, VPN oder vergleichbare kontrollierte Zugangswege bereitstellen und NLA erzwingen.
• Print Spooler auf Servern deaktivieren, auf denen er nicht benötigt wird.
• Nicht benötigte Rollen wie MSMQ, RMCAST, SSTP oder WSUS entfernen beziehungsweise Netzwerkzugriffe einschränken.
• Office auf Managementservern und Jump Hosts nur bei belegter betrieblicher Notwendigkeit installieren.
• Privilegierte Administration über getrennte Konten und gehärtete Admin-Workstations durchführen.
• Breite AD-FS-, AD-CS- und SQL-Servicekonto-Berechtigungen reduzieren.
• Secure-Boot-Zertifikatsrollout, BitLocker-Recovery und Geräte-Firmware in die Patchnachkontrolle aufnehmen.

6. Fazit und Handlungsempfehlung

Der Microsoft Patchday Juli 2026 ist nicht allein wegen seiner Größe relevant. Die entscheidende Besonderheit liegt in der Kombination aus einer stark revidierten CVE-Zahl, mehreren aktiv ausgenutzten Schwachstellen und der Konzentration auf zentrale Unternehmensdienste.

Die höchste Dringlichkeit besteht bei lokalen SharePoint-Servern. CVE-2026-56164 und CVE-2026-58644 werden durch Microsoft und CISA als aktiv ausgenutzt geführt. Für CVE-2026-50522 bestätigt CISA die Ausnutzung, während Microsoft sie derzeit noch nicht bestätigt. Internetexponierte oder erst verspätet aktualisierte Farmen erfordern deshalb neben dem Patch eine strukturierte Kompromittierungsprüfung.

AD FS folgt unmittelbar danach. Die aktiv ausgenutzte CVE-2026-56155 betrifft zwar einen lokalen Angriffsvektor, liegt aber innerhalb einer besonders sensiblen Vertrauens- und Identitätskomponente. Die Installation des Windows-Updates ist nur der erste Schritt; DKM-ACL, Ereignisprotokolle und die für Oktober angekündigte Enforcement-Phase müssen aktiv bearbeitet werden.

Domänencontroller, AD CS, DHCP, WSUS, RDS, Hyper-V, Exchange und SQL Server bilden die nächste Prioritätsstufe. Für diese Systeme sollten HA- und Clusterverfahren genutzt werden, ohne die Updates bis zum regulären Monatsende aufzuschieben. Besonders die RDP-RCE CVE-2026-56190 und die zahlreichen DHCP-, Hyper-V- und Infrastrukturfehler rechtfertigen einen beschleunigten Rollout.

Für Client- und Office-Systeme bleibt ein gestufter Deployment-Prozess angemessen. Administrative Endpunkte, RDS-Hosts und Systeme mit erhöhten Rechten müssen jedoch vor normalen Benutzerendgeräten aktualisiert werden, weil zahlreiche Office-Lücken bereits über das Vorschaufenster erreichbar sind.

Die abschließende Bewertung lautet daher: SharePoint als mögliche Incident-Response-Lage behandeln, AD FS und zentrale Infrastruktur sofort nachziehen und den restlichen Juli-Rollout anhand tatsächlicher Exposition und Geschäftsrolle statt ausschließlich anhand des CVSS-Werts priorisieren.

7. Quellen

Die Quellenangaben sind direkt verlinkt. Primärquellen wurden gegenüber Sekundärzusammenfassungen bevorzugt.

Primärquellen

• Microsoft Security Response Center: aktuelle Release Note zu den Juli-2026-Sicherheitsupdates mit 642 Microsoft-CVEs, Produktverteilung, notable CVEs und 461 erneut veröffentlichten Chromium-CVEs. (Microsoft Security Response Center)
• Microsoft CSAF – CVE-2026-56155: CVSS, Angriffsvektor und Exploit-Status der AD-FS-Schwachstelle. (Microsoft Security Response Center)
• Microsoft CSAF – CVE-2026-50661: BitLocker-Vektor, öffentliche Bekanntheit und fehlende Bestätigung aktiver Ausnutzung. (Microsoft Security Response Center)
• Microsoft CSAF – CVE-2026-58644: SharePoint-RCE, CVSS 9,8, funktionaler Exploit und bestätigte Ausnutzung. (Microsoft Security Response Center)
• Microsoft CSAF – CVE-2026-50522: SharePoint-RCE und derzeitiger Microsoft-Status „Exploited: No“. (Microsoft Security Response Center)
• Microsoft Support – AD FS DKM ACL Hardening: Auditmodus, Ereignisse, Registrysteuerung und Enforcement ab Oktober 2026. (Microsoft Support)
• Microsoft Support – Windows 11 KB5101650: Builds, Intel-IPF-Hinweis, Secure-Boot- und Offline-Image-Anforderungen. (Microsoft Support)
• Microsoft Support – KB5121767: Out-of-Band-Korrektur für betroffene Dell-/Intel-IPF-Geräte. (Microsoft Support)
• Microsoft Support – KB5121986: WSUS-Synchronisationsprobleme, serverseitige Mitigation und Bereinigungsverfahren. (Microsoft Support)
• Microsoft Support – SharePoint Server Subscription Edition KB5002882: Build und bekannte Probleme. (Microsoft Support)
• Microsoft Support – Exchange Server Juli-SUs: behobene CVEs, bekannte Probleme und Health Checker. (Microsoft Support)
• CISA KEV, 14. Juli 2026: Aufnahme von CVE-2026-56155 und CVE-2026-56164. (CISA)
• CISA SharePoint Hardening Alert: aktive Ausnutzung mehrerer SharePoint-Schwachstellen und Hardening-Hinweise. (CISA)
• CISA KEV, 16. Juli 2026: Aufnahme von CVE-2026-58644. (CISA)
• CISA KEV, 22. Juli 2026: Aufnahme von CVE-2026-50522. (CISA)
• NVD: technische und KEV-bezogene Einordnung von CVE-2026-56155, CVE-2026-56164, CVE-2026-58644 und CVE-2026-50522. (NVD)
• BSI/CERT-Bund: Warnung zur aktiven Ausnutzung von Microsoft- beziehungsweise SharePoint-Schwachstellen. (BSI)

Ergänzende Einordnung

• CrowdStrike: Ausgangszählung von 622 Schwachstellen, 62 Critical-CVEs und technische Aufschlüsselung der kritischen Schwachstellen. (CrowdStrike.com)
• Cisco Talos: 622 erfasste Schwachstellen, 57 Critical-Einträge sowie technische Einordnung der wichtigsten RCE- und EoP-CVEs. (Cisco Talos Blog)
• Qualys: engere Zählweise mit 570 CVEs, 57 Critical- und 510 Important-Schwachstellen sowie separater Edge-/Chromium-Betrachtung. (Qualys)
• Tenable: Zählweise mit 569 CVEs, 56 Critical-, 510 Important- und drei Moderate-Schwachstellen. (Tenable®)
• Security-Insider: deutschsprachige Einordnung des Juli-Patchdays und der zunächst bekannten Zero-Days. (Security-Insider)
• WinFuture: ergänzende Berichterstattung zu den WSUS-Synchronisationsproblemen und deren Bestätigung. (WinFuture)
• Help Net Security: Zusammenfassung des ursprünglichen Patchday-Stands mit zwei aktiv ausgenutzten und einer öffentlich bekannten Schwachstelle. (Help Net Security)