Juni-Patchday: Microsoft schließt 200 Sicherheitslücken – neuer Rekord

Microsofts Juni-Patchday setzt mit über 200 behobenen Schwachstellen einen neuen Rekord. KI-gestützte Fehlersuche und wurmfähige Exploits prägen das Update.

Mit rund 200 behobenen Sicherheitslücken übertrifft der Konzern den bisherigen Rekord von 177 Schwachstellen aus dem Oktober 2025 deutlich.

Sicherheitsfirmen wie Tenable und die Zero Day Initiative (ZDI) beziffern die Gesamtzahl der gemeldeten CVEs für Juni auf 198 bis 208 – je nachdem, welche Unterkomponenten einbezogen werden. Die Botschaft der Experten ist klar: Monatliche Updates mit über 100 Schwachstellen werden zum neuen Standard.

KI-Tools treiben die Fehlersuche an

Anzeige: Der Juni-Patchday markiert einen neuen Rekord: Über 200 Sicherheitslücken, darunter drei Zero-Days und zwei wurmfähige Exploits. Wer jetzt nicht priorisiert, riskiert eine Kompromittierung durch KI-gestützte Angriffe. Dieser Report liefert die entscheidende Checkliste und einen 3-Schritte-Plan zur Abwehr. Jetzt kostenlosen Patch-Report anfordern

Cybersicherheitsforscher führen den sprunghaften Anstieg vor allem auf den zunehmenden Einsatz künstlicher Intelligenz bei Sicherheitstests zurück. Analysen von Tenable und Dark Reading zeigen: KI-gestützte Bug-Jagd beschleunigt die Entdeckung von Schwachstellen enorm.

Ein konkretes Beispiel liefert der Bericht zu einer Denial-of-Service-Lücke im HTTP.sys-Komponent: Hier war OpenAI Codex als einer der Entdecker vermerkt. Die Kehrseite der Medaille: Während KI den Herstellern hilft, Fehler schneller zu identifizieren und zu schließen, könnten Angreifer ähnliche Werkzeuge nutzen, um verwundbare Stellen aufzuspüren.

Drei Zero-Day-Lücken – aber keine aktiven Angriffe

Das Juni-Update schließt drei Schwachstellen, die bereits vor der Veröffentlichung der Patches öffentlich bekannt waren – allerdings ohne dass zum Zeitpunkt der Freigabe aktive Ausnutzung gemeldet wurde. Diese Zero-Day-Lücken im Detail:

• CVE-2026-45586: Eine CTFMON-Sicherheitslücke, die Angreifern SYSTEM-Rechte verschaffen kann.
• CVE-2026-49160: Ein Denial-of-Service-Fehler in HTTP.sys – die sogenannte „HTTP/2 Bomb". Microsoft führte einen neuen Registry-Key zur Verwaltung der Header-Anzahl ein.
• CVE-2026-50507: Eine BitLocker-Umgehung, die physischen Zugriff auf das Zielgerät erfordert.

Zusätzlich adressierte Microsoft eine bereits aktive Sicherheitslücke: CVE-2026-41091 – eine Schwachstelle im Windows Defender, die in einem außerplanmäßigen Update Anfang des Jahres nach aktiver Ausnutzung geschlossen worden war.

Kritische Gefahr: „Wurmfähige" Lücken

Besonders alarmiert zeigen sich Sicherheitsforscher über zwei Schwachstellen, die als potenziell „wurmfähig" gelten. CVE-2026-47291 und CVE-2026-45657 sind Remote-Code-Execution-Fehler im Windows-Kernel und in HTTP.sys. Sie könnten sich ohne Benutzereingriff über Netzwerke verbreiten – ein Szenario, das an die verheerenden Würmer der Vergangenheit erinnert.

Breite Wirkung über Microsoft hinaus

Die Dimension des Juni-Sicherheitszyklus reicht weit über Microsofts Kernsoftware hinaus. Bezieht man die Updates für den Chromium-basierten Edge-Browser mit ein, übersteigt die Gesamtzahl der behobenen Schwachstellen in diesem Zeitraum 560.

Anzeige: KI-Tools treiben die Entdeckung von Schwachstellen rasant an – sowohl bei Sicherheitsforschern als auch bei Angreifern. Zwei der Juni-Lücken gelten als wurmfähig und könnten sich ohne Benutzereingriff verbreiten. Erfahren Sie in diesem Report, wie Sie Ihr Netzwerk mit einer KI-gestützten Analyse schützen. KI-Analyse-Guide jetzt sichern

Auch andere Software-Riesen zogen mit: Adobe veröffentlichte elf Sicherheitsbulletins für 123 Schwachstellen, darunter kritische Lücken in der Campaign-Classic-Software.

„Patch-Apokalypse" als neue Normalität?

Die Zahlen sind beeindruckend: Bereits in der ersten Jahreshälfte 2026 wurden mehr Schwachstellen identifiziert als im gesamten Jahr 2018. Sicherheitsexperten sprechen angesichts dieser Entwicklung von einer regelrechten „Patch-Apokalypse" – angetrieben durch automatisierte und KI-gestützte Entdeckungsprozesse. Für IT-Verantwortliche bedeutet das: Der Kampf gegen Sicherheitslücken wird nicht leichter, sondern intensiver.