Microsoft Juli-Patchday 2026: SharePoint-Zero-Day wird aktiv ausgenutzt
Microsoft schloss im Juli-Patchday 2026 zwischen 570 und 622 Sicherheitslücken – darunter zwei aktiv ausgenutzte Zero-Days in SharePoint und Active Directory Federation Services. Angriffswellen laufen bereits. BSI und CISA haben gewarnt.
Unmittelbar nach dem Microsoft-Patchday im Juli 2026 melden Sicherheitsforscher aktive Angriffswellen auf Microsoft SharePoint Server. Eine der im Update-Paket geschlossenen Zero-Day-Schwachstellen wird demnach bereits in freier Wildbahn ausgenutzt. Golem.de berichtete am 21. Juli 2026 von konkreten Angriffskampagnen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und die US-amerikanische CISA haben unabhängig voneinander Warnungen herausgegeben.
Die Schwachstellen im Detail
Im Juli-Patchday 2026 schloss Microsoft zwischen 570 und 622 Sicherheitslücken – je nach Zählmethode der Quellen eine der umfangreichsten Patch-Wellen der Unternehmensgeschichte. Darunter befinden sich 59 als Critical eingestufte Schwachstellen sowie 48 Lücken, die Remote Code Execution ermöglichen.
Besonders kritisch sind zwei Zero-Days, die zum Zeitpunkt der Veröffentlichung bereits aktiv ausgenutzt wurden:
- Microsoft SharePoint Server: Eine Schwachstelle erlaubt Angreifern unter bestimmten Bedingungen die Ausführung von Schadcode auf dem betroffenen Server. Angriffswellen sind bereits dokumentiert.
- Active Directory Federation Services (AD FS): Ein zweiter Zero-Day betrifft Microsofts Identitäts- und Authentifizierungsdienst. Eine Kompromittierung kann zur vollständigen Übernahme der Authentifizierungsinfrastruktur führen.
The Hacker News verzeichnete für diesen Patch Tuesday einen Rekord von 622 geschlossenen Schwachstellen; BleepingComputer nannte die Zahl 570. Die Diskrepanz ergibt sich aus unterschiedlichen Zählmethoden für Advisory-Kategorien.
Bin ich betroffen?
Betroffen sind alle Organisationen, die folgende Komponenten im Einsatz haben:
- Microsoft SharePoint Server (On-Premises): Alle Versionen müssen manuell gepatcht werden. SharePoint Online wurde von Microsoft bereits serverseitig abgesichert – Administratoren von Cloud-Instanzen müssen hier nicht aktiv handeln.
- Active Directory Federation Services: Alle Umgebungen, die AD FS für Single Sign-On oder Verbundauthentifizierung nutzen, sind potenziell gefährdet.
- Microsoft Exchange und weitere Produkte: Der Juli-Patchday umfasst auch Exchange Server und zahlreiche weitere Microsoft-Komponenten mit kritischen Lücken.
Wer unsicher ist, ob die eigene SharePoint-Umgebung On-Premises oder in der Cloud betrieben wird, sollte im Microsoft 365 Admin Center unter Einstellungen → Organisationsprofil prüfen, welche Produktvariante lizenziert ist.
Wie behebe ich das?
Microsoft stellt alle Juli-2026-Patches über Windows Update, WSUS und den Microsoft Update Catalog bereit. Folgende Schritte sind empfohlen:
- SharePoint Server sofort patchen: Alle verfügbaren Juli-2026-Cumulative Updates für SharePoint Server einspielen. Dies hat höchste Priorität, da aktive Angriffe laufen.
- AD FS patchen: Den zugehörigen Patch für Active Directory Federation Services zeitnah installieren. Ein kompromittiertes AD FS kann sämtliche SAML- und OAuth-Tokens entwerten oder fälschen.
- Exchange und weitere Rollen prüfen: Alle weiteren Juli-Patches für Exchange Server und andere exponierte Microsoft-Serverrollen einplanen.
- Patch-Status dokumentieren: Nach dem Einspielen den Patch-Status in der WSUS-Konsole oder im Microsoft Update-Protokoll verifizieren und schriftlich festhalten.
- Logs auf Anomalien prüfen: Angesichts laufender Angriffswellen sollten SharePoint- und AD-FS-Ereignisprotokolle rückwirkend auf verdächtige Zugriffe untersucht werden.
Weiterführende Informationen zur Verwaltung von Windows-Updates im Unternehmensumfeld bietet die s-edv.com-Anleitung zu WSUS und Windows Update for Business. Wer Active Directory absichern möchte, findet in der Anleitung Active Directory Domäne einrichten grundlegende Härtungshinweise.
Was bedeutet das für Unternehmen?
Die Kombination aus hohem Patch-Volumen und aktiv ausgenutzten Zero-Days stellt IT-Abteilungen vor erhebliche Herausforderungen. Der Umfang des Juli-Patchdays – zwischen 570 und 622 CVEs – übersteigt die Kapazität vieler Patch-Management-Prozesse erheblich. Prioritäten müssen klar gesetzt werden.
Besonders kritisch ist die Situation für Organisationen mit On-Prem-SharePoint: Angriffswellen laufen bereits. Ein erfolgreicher Angriff auf SharePoint kann zur Exfiltration sensibler Unternehmensdaten führen. Die Kompromittierung von AD FS geht noch weiter – sie kann Angreifern Zugang zu allen Systemen verschaffen, die Verbundauthentifizierung nutzen, einschließlich Microsoft 365-Diensten.
BSI und CISA haben ihre Warnungen unabhängig voneinander herausgegeben. Unternehmen, die Identitäts- und Zugriffsverwaltung über Microsoft Entra ID regeln, sollten zusätzlich prüfen, ob AD FS als Verbunddienstleister eingebunden ist. Hinweise zur Absicherung bietet die s-edv.com-Anleitung Microsoft 365 MFA und Conditional Access mit Entra ID.
Quellen
Golem.de: Kritische SharePoint-Lücke wird aktiv ausgenutzt | BleepingComputer: Microsoft July 2026 Patch Tuesday | The Hacker News: Microsoft Patches Record 622 Flaws | BSI: Cybersicherheitswarnung 2026-271713-1032
