So einen Patchday gab es noch NIE: Microsoft hat am 14. Juli 622 Schwachstellen auf einen Schlag gestopft — mehr als das Dreifache des bisherigen Rekords vom Juni (rund 200). Und mittendrin: zwei Zero-Days, die bereits aktiv angegriffen werden.
GEFAHR! Diese zwei Lücken werden JETZT ausgenutzt
Die wichtigste Baustelle ist CVE-2026-56164 im On-Premises SharePoint Server: Ein Angreifer braucht dafür keinerlei Anmeldung und kann sich übers Netzwerk höhere Rechte verschaffen. Microsoft bestätigt Angriffe in freier Wildbahn.
Nummer zwei ist CVE-2026-56155 in den Active Directory Federation Services (AD FS). Hier muss der Angreifer zwar schon im System sein — aber genau durch solche Identitäts-Dienste hangeln sich Eindringlinge nach dem ersten Zugriff weiter. Die US-Behörde CISA hat beide Lücken in ihren KEV-Katalog aufgenommen: US-Bundesbehörden müssen SharePoint bis zum 17. Juli und AD FS bis zum 28. Juli fixen. Das ist auch für dich eine gute Deadline.
UNGLAUBLICH: Die Zahlen hinter dem Rekord
Die 622 CVEs verteilen sich auf 416 Lücken in Windows, je 82 in Office und Office 2016, 46 in Edge und 17 in SharePoint Server. Über 60 davon gelten als kritisch. Der höchste Einzelwert geht an CVE-2026-57092 im Windows-VMSwitch: CVSS 9,9 — ein Use-after-Free, mit dem ein Angreifer aus einer virtuellen Maschine auf den Host ausbrechen kann. Wenn du einen Windows-Server mit Hyper-V betreibst, gehört dieser Patch ganz nach oben.
Dazu kommt ein Doppelpack in SharePoint: CVE-2026-50522 und CVE-2026-58644, beide CVSS 9,8, erlauben Code-Ausführung ohne Anmeldung und ohne Nutzer-Klick. Und ein dritter Zero-Day wurde vorab öffentlich: CVE-2026-50661, ein weiterer BitLocker-Bypass — der braucht aber physischen Zugriff aufs Gerät.
Warum explodieren die Zahlen SO?
Microsoft hatte bereits angekündigt, dass die Update-Volumen steigen werden — unter anderem, weil KI-gestützte Analyse intern deutlich mehr Fehler aufspürt als früher. Für dich heißt das: Rekord-Patchdays wie dieser könnten zur neuen Normalität werden. Die gute Nachricht: Masse heißt nicht automatisch Drama — entscheidend sind die aktiv ausgenutzten Lücken, und die sind diesmal klar benannt.
So patchst du in 5 MINUTEN richtig
Auf dem heimischen PC reicht der Klassiker: Einstellungen → Windows Update → Nach Updates suchen, danach neu starten. Wer Server betreibt, priorisiert so: 1. SharePoint on-prem (Zero-Day + zwei 9,8er), 2. AD FS, 3. Hyper-V-Hosts wegen der VMSwitch-Lücke, 4. der Rest im normalen Wartungsfenster. In deinem Homelab betrifft dich vor allem die Windows-Masse — die Server-Produkte laufen dort seltener.
FAZIT: Kein Grund zur Panik, aber zum Handeln
622 Lücken klingen nach Weltuntergang, sind aber vor allem ein Zeichen, dass Microsofts Fehlersuche schneller geworden ist. Ernst nehmen solltest du die zwei aktiven Zero-Days und die kritischen Server-Lücken — alles andere erledigt Windows Update im Hintergrund.
Häufige Fragen
Welche Lücken werden aktiv ausgenutzt?
Bin ich als Privatnutzer betroffen?
Warum sind es plötzlich so viele CVEs?
Was ist mit der BitLocker-Lücke CVE-2026-50661?
Quellen: The Hacker News · SecurityWeek · CyberScoop · Rapid7 · Dark Reading