Microsoft hat am 14. Juli 2026 Sicherheitsupdates für Windows-Clients und -Server, für Office – sowie für weitere Produkte – veröffentlicht. Die Sicherheitsupdates beseitigen 569 Schwachstellen, 56 kritisch, und 510 als wichtig, sowie 3 als moderat eingestuft. Nachfolgend findet sich ein kompakter Überblick über diese Updates, die zum Patchday freigegeben wurden.
Hinweise zu den Updates
Eine Liste der Updates finden Sie auf dieser Microsoft-Seite. Details zu den Update-Paketen für Windows, Office etc. sind in separaten Blogbeiträgen verfügbar.
Windows 10/11, Windows Server
Alle Windows 10/11-Updates (sowie die Updates der Server-Pendants) sind kumulativ. Das monatliche Patchday-Update enthält alle Sicherheitsfixes für diese Windows-Versionen – sowie alle nicht sicherheitsbezogenen Fixes bis zum Patchday. Zusätzlich zu den Sicherheitspatches für die Schwachstellen enthalten die Updates auch Fixes zur Behebung von Fehlern oder Neuerungen.
Im Oktober 2025 ist Windows 10 22H2 aus dem Support gefallen. Sicherheitsupdates gibt es nur noch für Nutzer einer ESU-Lizenz.
Windows Server 2012 R2
Für Windows Server 2012 /R2 ist eine ESU-Lizenz zum Bezug weiterer Sicherheitsupdates erforderlich (Windows Server 2012/R2 bekommt Extended Sicherheitsupdates (ESU) bis Oktober 2026).
Gefixte Schwachstellen
Bei Tenable gibt es diesen Blog-Beitrag mit einer Übersicht der gefixten Schwachstellen. Hier einige der kritischen Schwachstellen, die beseitigt wurden:
- CVE-2026-56155: Active Directory Federation Services Elevation of Privilege-Schwachstelle, CVSSv3 Score 7.8, Important; Microsoft weist darauf hin, dass diese Schwachstelle in der Praxis als Zero-Day-Exploit ausgenutzt wurde und dass die Entdeckung Forschern des Microsoft Detection and Response Teams (DART) zu verdanken ist. Eine erfolgreiche Ausnutzung würde es einem Angreifer ermöglichen, Administratorrechte zu erlangen.
- CVE-2026-56164: Microsoft SharePoint Server Elevation of Privilege-Schwachstelle, CVSSv3 Score 5.3, moderat; Laut Microsoft wurde diese Schwachstelle in der Praxis als Zero-Day-Exploit ausgenutzt. Betroffen sind Microsoft SharePoint Server 2019, Microsoft SharePoint Server Subscription Edition sowie SharePoint Server 2016 und SharePoint Enterprise Server 2016. Microsoft weist darauf hin, dass die Integration seiner Antimalware Scan Interface (AMSI)-Schnittstelle einen Schutz vor dieser Sicherheitslücke bieten kann, indem sie nach bösartigen POST-Anfragen sucht und diese erkennt.
- CVE-2026-5066: Windows BitLocker Security Feature Bypass-Schwachstelle, CVSSv3 Score 6.1, Important; Die Schwachstelle wurde öffentlich bekannt gegeben, bevor ein Patch verfügbar war, und gemäß dem Exploitability Index von Microsoft als "Exploitation Less Likely" (Ausnutzung eher unwahrscheinlich) eingestuft. Obwohl ein Exploit öffentlich bekannt ist, wird in der Sicherheitsempfehlung darauf hingewiesen, dass für die Ausnutzung physischer Zugriff auf das Zielgerät erforderlich ist. Microsoft gibt lediglich einen anonymen Melder an. Basierend auf der Beschreibung in der Sicherheitsmitteilung ist es möglich, dass dieser Patch die Sicherheitslücke "GreatXML" behebt, eine Zero-Day-Sicherheitslücke zur Umgehung von BitLocker, die von dem als "Chaotic Eclipse" (Nightmare Eclipse) bekannten Forscher offengelegt wurde. GreatXML wurde am 10. Juni veröffentlicht, einen Tag nach dem Patch Tuesday im Juni.
- CVE-2026-55944: Microsoft Dynamics NAV and Microsoft Dynamics 365 Business Central (On Premises) Remote Code Execution-Schwachstelle, CVSSv3 Score 9.8, Critical; Die Schwachstelle ist gemäß dem Exploitability Index von Microsoft als Ausnutzung eher wahrscheinlich eingestuft. Eine erfolgreiche Ausnutzung kann durch das Senden einer manipulierten Anmeldeanfrage an einen betroffenen Dynamics NAV- oder Business Central-Server erreicht werden, um eine Deserialisierung nicht vertrauenswürdiger Daten auszulösen. In der Sicherheitsempfehlung von Microsoft wird darauf hingewiesen, dass weder eine Benutzerinteraktion noch eine Authentifizierung erforderlich ist, um diese Sicherheitslücke erfolgreich auszunutzen.
- CVE-2026-55944: Microsoft Dynamics NAV and Microsoft Dynamics 365 Business Central (On Premises) Remote Code Execution-Schwachstelle, CVSSv3 Score 9.8, Critical;
- Diverse Windows DHCP Server and Client Remote Code Execution-, Elevation of Privilege and Denial of Service-Schwachstellen. Die Updates umfasten Patches zur Behebung mehrerer CVEs, die den DHCP-Server und den Windows-DHCP-Client betreffen. Von den neun CVEs wurden fünf als "kritisch" und drei als "Ausnutzung eher wahrscheinlich" eingestuft. Eine Aufschlüsselung der CVEs finden sich hier.
- Diverse Windows Windows Kernel Elevation of Privilege-Schwachstellen. Zu den Updates dieses Monats gehören 20 CVEs, die EoP-Schwachstellen im Windows-Kernel beheben. Die CVSSv3-Werte reichen von 4,7 bis 9,3, und sechs der 20 wurden als "Exploitation More Likely" (Ausnutzung eher wahrscheinlich) eingestuft. Darüber hinaus gab es diesen Monat mehrere weitere Sicherheitskorrekturen für den Windows-Kernel, darunter sechs CVEs für Schwachstellen, die zur Offenlegung von Informationen führen, sowie zwei Umgehungen von Sicherheitsfunktionen. Eine Aufschlüsselung der EoP-CVEs finden sich hier.
Eine Liste aller aufgedeckten CVEs finden Sie auf dieser Microsoft-Seite, Auszüge sind bei Tenable abrufbar. Von Talos liegt mir noch keine Kommentierung der Schwachstellen vor (trage ich nach, sobald ich die Information habe).
Ähnliche Artikel:
Microsoft Security Update Summary (14. Juli 2026)
Patchday: Windows 10/11 Updates (14. Juli 2026)
Patchday: Windows Server-Updates (14. Juli 2026)
Patchday: Microsoft Office Updates (14. Juli 2026)
MVP: 2013 – 2016
Bisher installiert auf 1 x Windows Server 2019, 5 x Windows Server 2022, 2 x Windows 11 23H2 Enterprise, 1 x Windows 11 24H2 (alles VM). Teilweise mit SQL-Server Update. Erster Eindruck: es funktionieren alle noch. Der Download ging flott, die Installation eher zäh. Ausser Server 2019 jeweils 2x Reboot inkludiert. Noch keine DC, HyperV- und DHCP-Server dabei.
Installiert auf 3x MS Windows 11 25H2 Enterprise, je drei Neustarts. Bislang kein fehlerhaftes Verhalten feststellbar. Server kommt morgen dran.
2022er Host (Hyper-V) und eine Reihe VMs (2022 und 2016) gepatcht, inkl. 2022er DC. Bislang sind alle Server wieder hochgekommen ;)
Hier genauso. Im automatisierten Testzoo gab es keine Ausfälle.
Bei einigen VMs muß ich langsam mal die virtuellen Festplatten vergrößern, weil die Updates immer fetter werden. Aber solange noch ~10GB frei sind geht es.
Ist halt kumulativ… mit cleanmgr mit erhöhten Rechten kann man viele GB bereinigen, ähnlich mit Dism und cleanupimage etc.
Nach 10 Tagen wird automatisch eine Updatebereinigung durchgeführt und danach hat man wieder mehr freien Speicherplatz auf C.
Naja, die Größe der Updates unterscheidet sich schon extrem.
Juli-Update für Server 2022 = 557 MB
Juli-Update für Server 2025 = 2573 MB
Was zur Hölle macht das Update für Server 2025 fast 5 mal so groß wie für Server 2022?
Und das, obwohl es Server 2022 ja schon länger gibt und daher eigentlich das kummulative Update größer sein müsste als bei Server 2025.
Bereinigung läuft auf den genannten VMs automatisch und auch der Fehler ist wohlbekannt, daß sich manchmal unter SoftwareDistribution Leichen sammeln.
Trotzdem werden schon zum Auspacken der Patches inzwischen etliche GB benötigt und die Installation bricht ab, wenn nicht genügend zur Verfügung steht.
Es sind halt VMs nur für diesen Zweck, da sind 40GB Betriebssystempartition (auf teurem, hochverfügbarem SAN-Storage) schon grenzwertig. Mein Monitoring (das die Platten auf 90% Füllstand überwacht) hat jedenfalls in der Nacht öfters angeschlagen.
Kleine Off-Topic-Frage: Du hast erwähnt, dass dein Monitoring bei 90 % Plattenfüllstand angeschlagen hat. Welches Monitoring-System setzt du dafür ein? Ich bin gerade dabei, verschiedene Lösungen zu evaluieren und bin daher neugierig, womit andere in der Praxis gute Erfahrungen gemacht haben.
Die große Frage, lieber 2 Wochen warten, oder sofort die nächsten 1-2 Tage updaten, bei der Anzahl von ausgebügelten Sicherheitslücken…..
Bei den Servern warte ich normalerweise bis zum zweiten Tag nach dem Patchtag. Wenn dann nichts gemeldet wurde, riskiere ich es. Allerdings gebe ich zu, dass das übervorsichtig sein könnte, denn seit 2025 hatte ich hier keine Probleme mit Server-Updates.
Wenn am Sonntag dann alles auf einmal zusammenbricht und ausfällt gratulieren wir uns gegenseitig zum zweiten Geburtstag des Falken.
Wird schon schief gehen ;)
Ich habe in einem Anfall von Überheblichkeit heute schon einen DC aktualisiert. Bislang keine seltsamen Effekte oder Fehlfunktionen sichtbar.
Die ersten Server 2022 inkl. 1 DC haben ohne Probleme aktualisiert. Keine Probleme bisher feststellbar.
Alle anderen Server 2022 (DC, Exchange, Hyper-V Hosts) sind jetzt auch durch. Alles gut soweit.
Für DHCP-Server und DHCP-Client-Dienste wurden ja einige kritische Sicherheitslücken geschlossen. Mehrere davon im DHCP-Server, u.a. CVE-2026-50518, Remote Code Execution Vulnerability, CVSSv3 = 9.8, Severity = Critical, Exploitability Index = Exploitation More Likely. Vollständige Liste und Details im von Günter verlinkten Tenable-Artikel.
Wir haben jetzt mal das Juli-Update auf einem der beiden im Lastausgleich laufenden DHCP-Server installiert und beobachten den Betrieb. Bisher ist nichts aufgefallen. Wenn das so bleibt, ziehen wir dann am Abend den zweiten DHCP-Server nach. Poste dann ein Update hier, für alle die gerne warten ob die, welche ins kalte Wasser springen auch wieder auftauchen. :D
DHCP-Server im Lastausgleichsmodus funktionieren auch nach dem Update zuverlässig. Einer läuft auf Windows Server 2019 und der andere auf Windows Server 2022.
Ergänzend:
Microsoft SQL Server und Power BI: Mehrere Schwachstellen
CVSS Base Score laut CERT Bund: 8.8 (hoch), siehe auch:
https://wid.cert-bund.de/portal/wid/securityadvisory?name=WID-SEC-2026-2327
Betroffene Produkte:
– Microsoft Power BI Report Server
– Microsoft SQL Server 2019 (GDR)
– Microsoft SQL Server 2016 SP3 (GDR)
– Microsoft SQL Server 2016 SP3 Azure Connect Feature Pack
– Microsoft SQL Server 2017 (CU 31)
– Microsoft SQL Server 2022 (GDR)
– Microsoft SQL Server 2019 (CU 32)
– Microsoft SQL Server 2017 (GDR)
– Microsoft SQL Server 2022 (CU 25)
Download der Updates, siehe:
https://learn.microsoft.com/en-us/troubleshoot/sql/releases/download-and-install-latest-updates
In deiner Auflistung fehlen noch die Sicherheitsupdates für SQL Server 2025 RTM und SQL Server 2025 CU6.
Mal ein großes Dankeschön an alle hier und ganz besonders an Günther!
Ich schaue immer erst hier rein bevor ich Patches installiere und hatte – vielleicht deswegen – bisher noch nie Probleme dabei.
ebenso. Auch von meiner Seite vielen Dank an Herrn Born – und an alle, die melden, wie es bei ihnen lief.
Dem schließe ich mich gerne an. Vielen Dank an Günther und die gesamte Community für die vielen hilfreichen Hinweise und Praxiserfahrungen. Vor dem Einspielen der Updates ist dieser Blog für mich inzwischen eine feste Anlaufstelle.