Rekord-Patchday bei Microsoft: 622 Lücken – und warum ungepatchte Systeme der kürzeste Weg auf eine Leak-Liste sind

Am 14. Juli 2026 hat Microsoft seinen bislang größten Patchday überhaupt ausgerollt: 622 gestopfte Sicherheitslücken an einem einzigen Dienstag – ein Rekordwert, der die ohnehin schon hohen Vormonate deutlich übertrifft. Zum Vergleich: Allein die Zahl der Windows-Schwachstellen liegt mit rund 416 CVEs höher, als mancher gesamte Patchday früherer Jahre umfasste.

Für IT-Verantwortliche ist das keine Nachricht, die man in den Posteingang wandern und dort liegen lassen darf. Denn zwischen diesen 622 Einträgen stecken drei Zero-Days – Lücken, die bereits bekannt waren, bevor ein Patch existierte, zwei davon nachweislich aktiv ausgenutzt – sowie rund 59 als kritisch eingestufte Schwachstellen, von denen mehrere eine unauthentifizierte Codeausführung aus der Ferne erlauben. Genau diese Kombination aus „aus dem Internet erreichbar“ und „ohne Anmeldung ausnutzbar“ ist das, wonach Ransomware-Gruppen im Sekundentakt scannen.

Zero-Days sind die brisanteste Kategorie eines jeden Patchdays: Bei ihnen war die Lücke bereits öffentlich bekannt oder wurde sogar schon angegriffen, während es noch keinen Schutz gab. Drei davon hat Microsoft diesen Monat geschlossen.

Die eindringlichste Erinnerung dieses Monats: Der CVSS-Score allein ist diesmal nicht das richtige Sortierkriterium. Priorität hat, was aktiv ausgenutzt und unauthentifiziert erreichbar ist.

Neben den Zero-Days stechen die kritischen Remote-Code-Execution-Lücken heraus. Sie erlauben, aus der Ferne fremden Code auszuführen – bei den unauthentifizierten Varianten ohne gültige Zugangsdaten. Genau solche Lücken lassen sich zu automatisierten, teils wurmartigen Angriffsketten verketten.

Je nach Auswerter tauchen zusätzlich weitere kritische Kandidaten auf, u. a. in Windows DNS Server (CVE-2026-58248, CVE-2026-58249), Microsoft Office (CVE-2026-58261, CVE-2026-58263), SQL Server (CVE-2026-58257, CVE-2026-54117, CVE-2026-54118), Remote Desktop Services (CVE-2026-58272) sowie im Windows Server Network Driver (CVE-2026-58188). Selbst ein Minecraft Bedrock Dedicated Server (CVE-2026-55010) ist mit einer RCE vertreten – ein Hinweis, wie breit die Angriffsfläche moderner Software geworden ist.

• CVE-2026-55040 · SharePoint Server (CVSS bis 9,1)
  Authentifizierungs-Bypass über manipulierte JWT-Token, demonstriert auf der Pwn2Own Berlin. In Kombination mit den kritischen SharePoint-RCEs entsteht eine besonders gefährliche Kette.
• CVE-2026-55008 · Exchange Server / Outlook Web Access (CVSS 9,6)
  Von Microsoft als „Spoofing“ eingestuft, in der Praxis aber ein Stored-XSS-Problem in der Webmail-Oberfläche. Bei einem so exponierten Dienst wie OWA wiegt das schwer.

An dieser Stelle schließt sich der Kreis zu den Fällen, über die wir in diesem Blog regelmäßig berichten – Unternehmen, die plötzlich auf der Darknet-Leak-Seite einer Ransomware-Gruppe wie LockBit5, Qilin oder SafePay auftauchen. Diese Einträge fallen nicht vom Himmel. Am Anfang steht fast immer ein technischer Erstzugang – und die typischen Einfallstore lesen sich wie eine Zusammenfassung genau dieses Patchdays:

• ungepatchte, aus dem Internet erreichbare Schwachstellen – exakt die Kategorie, die dieser Patchday in Rekordhöhe adressiert
• exponierte Fernzugänge wie RDP und VPN – siehe CVE-2026-56190 (RDP-RCE)
• schwache oder gestohlene Zugangsdaten, oft aus Infostealer-Malware
• Phishing als Türöffner für den ersten Klick

Ransomware-as-a-Service-Gruppen arbeiten heute hochgradig industrialisiert und opportunistisch. Ihre Partner scannen das Internet permanent nach genau den Systemen ab, für die gerade ein Patch veröffentlicht wurde – denn ein Patch ist zugleich eine öffentliche Bauanleitung: Er verrät, wo die Lücke sitzt. Das Zeitfenster zwischen Veröffentlichung eines Patches und den ersten breit angelegten Ausnutzungsversuchen schrumpft seit Jahren und liegt bei kritischen, unauthentifizierten Lücken inzwischen oft bei Stunden bis wenigen Tagen.

Das BSI empfiehlt, rund 20 % des IT-Budgets gezielt in Cybersicherheit zu investieren – BSI-Präsidentin Claudia Plattner nennt diesen Richtwert regelmäßig. In vielen Unternehmen liegt der tatsächliche Anteil deutlich darunter.

Dem gegenüber steht der Schaden eines erfolgreichen Ransomware-Angriffs, der regelmäßig im sechs- bis siebenstelligen Bereich liegt – von Betriebsunterbrechung über Wiederherstellungs-, Forensik- und Rechtskosten bis zu möglichen Lösegeldforderungen. Nach der Bitkom-Studie „Wirtschaftsschutz 2025“ entstand der deutschen Wirtschaft binnen zwölf Monaten ein Rekordschaden von rund 289 Mrd €; 87 % der befragten Unternehmen waren betroffen, gut ein Drittel berichtete konkret von Ransomware.

Das Einspielen eines Patches kostet dagegen vor allem eines: die Entscheidung, es zu tun, und die Disziplin, es zeitnah zu tun.