Patch Tuesday hat 622 Fehler behoben. Aber die seitliche Bewegung wurde nicht behoben.
Microsofts Sicherheitsveröffentlichung im Juli 2026 stellte einen neuen Rekord auf. Das Unternehmen behob 622 Fehler und verdreifachte damit den alten Rekord von 200, der nur einen Monat zuvor behoben wurde.
Zwei wurden bereits angegriffen, und Microsoft gab beide als Zero-Day-Schwächen bekannt:
- CVE-2026-56155 in Active Directory Federation Services. Ein Angreifer, der bereits lokalen Zugriff auf einem AD FS-Server hat, kann Administratorrechte erhalten. Microsoft bewertete sie mit 7,8.
- CVE-2026-56164 in SharePoint Server. Ein nicht authentifizierter Angreifer kann Rechte über das Netzwerk eskalieren, ohne dass Zugangsdaten benötigt werden. Microsoft bewertete es mit 5,3, also moderat, und CISA bestätigte am selben Tag eine aktive Ausnutzung.
Das Volumen der Schwachstellen ist nur ein Symptom des größeren Problems. Während sich Mythos und andere Pionier-KI-Systeme weiterentwickeln, hilft KI Sicherheitsteams, verborgene Schwächen schneller und in viel größerem Maßstab zu finden. Jeder dieser Fehler wird irgendwann behoben. Aber das Patchen bringt nichts gegen einen Angreifer, der sich bereits im Netzwerk befindet.
Microsoft hat gewarnt, dass dieser Fortschritt die operativen Anforderungen an Sicherheitsteams erhöhen wird. Mehr gefundene Fehler bedeuten mehr Updates zum Bewerten, Testen, Rangieren und Einsetzen.
Schwachstellen schneller zu finden, ist zweifellos gut für die Sicherheit. Aber das bedeutet nicht, dass Teams jedes System mit derselben Maschinengeschwindigkeit reparieren können.
"Bestehende Patchzyklen erreichten bereits nicht das Tempo der Entdeckung und Ausnutzung von Schwachstellen vor Mythos", sagte Michael Adjei, Direktor für Systemtechnik bei Illumio. "Jetzt wird es sicher nicht mithalten."
Patching kann den Einstieg schließen, aber das eigentliche Risiko beginnt, nachdem Angreifer Fuß gefasst haben – wenn sie Schwachstellen ketten, Zugangsdaten stehlen, Privilegien eskalieren, seitlich bewegen und kritische Systeme erreichen.
Das ist ein entscheidender Unterschied. Ein Durchbruch wird nicht durch den Fehler definiert, den ein Angreifer zum Eintreten genutzt hat, sondern dadurch, wie weit er danach reist. Patching ist ein Rennen, das Verteidiger nicht gewinnen können, und ein Sieg würde das Ergebnis sowieso nicht ändern. Die eine Variable, die Verteidiger tatsächlich kontrollieren, ist die Distanz, die ein Eindringling zurücklegen kann, sobald er drinnen ist. Und dieser Abstand wird durch Sichtbarkeit, Segmentierung und Eindämmung bestimmt.
Das Patching-Fenster schließt sich
Wie wir in The Race to Stop AI From Turning Vulnerabilities Into Breach Reaches behandelt haben, haben Angreifer viel weniger Zeit zu warten, und Verteidiger viel weniger Zeit zu reagieren.
Die Zero Day Clock zeigt, dass die mittlere Zeit von der Offenlegung bis zur bestätigten Ausbeutung von etwa 10 Monaten im Jahr 2021 auf nur noch drei Stunden im Jahr 2026 gesunken ist.
Schnelleres Patchen ist trotzdem wichtig, weil es das Zeitfenster einschränkt. Aber es schließt es nicht.
Teams sollten bekannte ausgenutzte Schwachstellen priorisieren, wo möglich automatisieren und Test- sowie Genehmigungszyklen für dringende Updates verkürzen.
Aber das Patchen hat seine Grenzen.
"Viele Organisationen haben Legacy-Schulden", sagte Adjei. "Sie können nicht einfach kritische Systeme lahmlegen, um einen Patch anzubringen. Patching erfordert Erwerbung, Regressionstests, Integritätsprüfungen, Bereitstellung und Validierung."
Diese Schritte brauchen Zeit. Kritische Systeme können nicht immer offline gehen, und Updates müssen getestet werden, bevor sie in Produktion gehen. Schnelleres Patchen ist nicht die ganze Lösung.
Das lässt eine unvermeidbare Lücke zwischen dem Tag, an dem ein Patch veröffentlicht wird, und dem Tag, an dem er ausgerollt wird.
Wenn die Angreifer zuerst dort sind
Die Warnung von CISA im Juli enthielt eine bereits ausgenutzte Microsoft-SharePoint-Schwachstelle, die eine große Frage aufwirft: Was passiert, wenn ein Angreifer das verwundbare System erreicht, bevor ein Patch bereitgestellt wird?
Eine Reihe von Angriffen ein Jahr zuvor, die ToolShell-SharePoint-Kampagne im Juli 2025, zeigt, was passieren kann. Angreifer nutzten SharePoint-Schwachstellen auf internetnahen, lokalen Servern aus.
Microsoft identifizierte drei in China ansässige Bedrohungsakteure, die die Schwachstellen ausnutzten:
- Leinen-Taifun: Eine staatlich unterstützte chinesische Spionagegruppe, die die SharePoint-Schwachstellen für den ersten Zugriff nutzte. Die Gruppe hat sich historisch auf bestehende Exploits verlassen, um Organisationen zu kompromittieren und geistiges Eigentum zu stehlen.
- Violetter Taifun: Eine staatlich unterstützte chinesische Spionagegruppe, die die SharePoint-Schwächen gegen exponierte Server ausnutzte. Die Gruppe ist bekannt dafür, internetnahe Infrastruktur zu scannen, Schwachstellen auszunutzen und Webshells zu installieren.
- Sturm-2603: Ein in China ansässiger Akteur, der die SharePoint-Schwächen ausnutzte und versuchte, SharePoint MachineKeys zu stehlen. Microsoft beobachtete, wie die Gruppe den Zugriff nutzte, um Warlock-Ransomware zu deployieren, und hatte zuvor LockBit verwendet.
Microsofts Berichterstattung zeigt, dass die Ausnutzung nicht beim verwundbaren SharePoint-Server endete. Storm-2603 nutzte seinen Zugang für die Entdeckung, den Diebstahl von Zugangsdaten, den seitlichen Wechsel mit Tools wie PsExec und Impacket und letztlich für den Einsatz von Ransomware.
Die ToolShell-Kampagne zeigt, warum das Ausnutzen einer Schwachstelle erst der Anfang ist. Die Schwächen verschafften den Angreifern einen Eingang. Was sie nach dem Zugang taten, bestimmte, wie weit sich der Angriff ausbreiten konnte.
Wie eine Schwachstelle zum Zugang wird
Eine Schwäche ist nur eine Schwäche. Angreifer müssen trotzdem einen Weg finden, es zu nutzen.
Ein Angreifer findet einen Fehler und baut oder passt einen Exploit an. Wenn der Exploit funktioniert, kann der Angreifer Code innerhalb des verwundbaren Programms ausführen. Dieser Code kann eine entfernte Verbindung öffnen, die dem Angreifer die Kontrolle über das System gibt. Von dort aus kann der Angreifer Malware installieren, Rechte erhöhen oder sich darauf vorbereiten, weiter in die Umgebung vorzudringen.
Nicht jeder Exploit folgt genau diesen Schritten. Einige Angriffe verwenden gestohlene Zugangsdaten, eingebaute Werkzeuge oder direkte Befehle anstelle von Shellcode und einer Reverse Shell. Aber das Ziel ist dasselbe: einen Softwarefehler in Zugang umzuwandeln.
"Es gibt zwei Hauptdinge, die ein Angreifer tun muss", sagte Adjei. "Zuerst, nutze eine Schwachstelle, um Fuß zu fassen. Zweitens: Nutze diesen Stützpunkt, um dich durch die Umgebung zu verbreiten und ein Ziel zu erreichen."
Ein häufiger Weg sieht so aus:
- Entdecken Sie die Verletzlichkeit. Angreifer finden Schwächen, indem sie Code und Abhängigkeiten rückentwickeln, fuzzen oder analysieren.
- Nutze das verwundbare Programm aus. Sie nutzen oder passen einen Exploit an, um den Fehler auszunutzen. Dies kann die Fernausführung von Code ermöglichen, Sicherheitskontrollen umgehen, Rechte erhöhen oder Informationen offenlegen.
- Übernehmen Sie die Kontrolle über den Programmfluss. Bei manchen Angriffen ermöglicht Shellcode oder anderer bösartiger Code dem Angreifer die Kontrolle darüber, wie das verwundbare Programm ausgeführt wird.
- Stellen Sie Fernzugang her. Der Angreifer kann eine Reverse-Shell oder eine andere Verbindung zu seiner Infrastruktur öffnen und so die Fernkontrolle über das kompromittierte System erhalten.
- Bereitstellen Sie Malware oder zusätzliche Exploits ein. Sobald der Zugang hergestellt ist, kann der Angreifer Malware installieren, Rechte erhöhen und sich auf eine seitliche Bewegung vorbereiten.
Der Foothold ist nicht das Endziel
Reinzukommen bedeutet nicht, dass die Angreifer das erreicht haben, wofür sie gekommen sind.
Sie beginnen damit, zu lernen, wie die Umgebung funktioniert. Sie suchen möglicherweise nach Benutzern, Zugangsdaten, Systemen, Diensten und Netzwerkverbindungen. Diese Entdeckung hilft ihnen, einen Weg über das erste kompromittierte System hinaus zu finden.
Angreifer können dann seitlich mit gestohlenen Zugangsdaten, vertrauenswürdigen Protokollen, Fernverwaltungstools oder weiteren Schwachstellen vorgehen. Sie können auch Führung und Kontrolle etablieren, um den Zugang zu behalten und den Angriff zu leiten.
Das endgültige Ziel kann Datendiebstahl, Störungen, Domänenkontrolle oder Ransomware sein.
"An diesem Punkt sollten die Verteidiger von einer Verletzung ausgehen", sagte Adjei. "Angreifer landen selten direkt auf dem System, das sie wollen."
"Sie könnten ein Web-Frontend oder einen Endpunkt kompromittieren, aber ihr eigentliches Ziel könnte eine kritische Datenbank, ein Laborserver, eine hochwertige Anwendung oder ein System sein, das mit etwas Nützlicherem verbunden ist."
Das Risiko besteht darin, was die Angreifer als Nächstes erreichen können
Adjei erkennt einen entscheidenden Unterschied zwischen einer Schwachstelle und einem Sicherheitsvorfall.
"Die Verwundbarkeit ist das Mittel, um hineinzukommen; Das Ziel ist, was sie als Nächstes erreichen können", sagte er.
Deshalb sind Schweregradwerte und Patch-Status die falsche Anzeigetafel. Eine CVSS-Bewertung beschreibt einen Fehler isoliert; Es steht nichts darüber, ob das verwundbare System exponiert ist, womit es sich verbinden kann oder welche kritischen Ressourcen nur einen Sprung entfernt sind. Das sind die Fragen, die darüber entscheiden, ob ein Einbruch einen Vorfall aufhält oder zu einem Datenverstoß wird.
Das Flicken schließt den Fehler. Die Eindämmung des Bruchs stoppt die Ausbreitung.
Patching bleibt unerlässlich, aber sie können nicht immer erfolgen, bevor Angreifer handeln – und sie können ihnen bereits gewonnenen Zugriff nicht entziehen.
Hier zählen Sichtbarkeit, Segmentierung und Breach Containment. Sichtbarkeit zeigt, wie ein kompromittiertes System mit dem Rest der Umgebung verbunden ist. Segmentierung begrenzt unnötige Wege. Breach Containment hilft, Angreifer daran zu hindern, tiefer vorzudringen.
"Das heißt nicht, dass Patchen unwichtig sind", sagte Adjei. "Es bedeutet, die Fähigkeit eines Angreifers zu verringern, einen Fußtritt auszunutzen und sich während des Patchings zu bewegen – oder wenn eine Schwachstelle noch unbekannt ist."
Erfahren Sie, warum Transparenz und Segmentierung für die Eindämmung von Sicherheitsverletzungen unerlässlich sind. Vereinbaren Sie noch heute eine Demonstration der Breach Containment.
.webp)
.webp)
