569 Lücken an einem Tag: KI treibt Microsofts Patch-Rekord
Was wirklich drin steht
Microsofts Patch Tuesday am 8. Juli 2026 hat alle bisherigen Rekorde pulverisiert: 569 Sicherheitslücken (CVEs) wurden geschlossen, darunter 56 als kritisch eingestufte Schwachstellen und zwei Zero-Day-Lücken, die bereits aktiv von Angreifern ausgenutzt wurden (CVE-2026-56155 in Active Directory Federation Services und CVE-2026-56164 in SharePoint Server). Die Zahl ist mehr als dreimal so hoch wie der vorherige Rekord von rund 200 CVEs im Juni 2026, der selbst bereits als historisch galt. Microsoft hat bestätigt, dass sein KI-gestütztes Multi-Model-Scansystem MDASH (Multi-Model Agentic Scanning) autonom Schwachstellen entdeckt. Parallel dazu hat Anthropics KI-Modell Mythos im April 2026 allein 271 Schwachstellen in Mozillas Firefox-Browser entdeckt und für 181 davon funktionierende Exploits entwickelt. Mozilla veröffentlicht Sicherheitsupdates inzwischen wöchentlich statt monatlich. Die Entwicklung betrifft die gesamte Branche: Software-Hersteller stellen von monatlichen auf kürzere Patch-Zyklen um, da die Zeitspanne zwischen Veröffentlichung eines Patches und Ausnutzung durch Angreifer auf wenige Stunden schrumpfen kann.
Unsere Einordnung
569 Schwachstellen in einem Monat, dreimal so viele wie der bisherige Rekord. Microsofts KI-System MDASH findet Lücken schneller als menschliche Forscher, und Anthropics Mythos entdeckte 271 Firefox-Schwachstellen in einem Durchlauf. Die Zahlen zeigen ein doppeltes Bild: KI macht Software langfristig sicherer, weil sie Fehler findet, die jahrzehntelang übersehen wurden. Gleichzeitig entsteht ein Wettrüsten, bei dem auch Angreifer KI nutzen, um Schwachstellen schneller auszunutzen. Für IT-Abteilungen bedeutet das eine neue Realität: Monatliche Patch-Zyklen reichen nicht mehr aus. Wer nicht innerhalb von Stunden aktualisiert, riskiert einen Angriff. Der Trend ist real und beschleunigt sich, aber er bedeutet nicht, dass Software unsicherer wird. Im Gegenteil: Mehr gefundene Lücken bedeuten langfristig stabilere Produkte.
Relevanz für Deutschland
Für deutsche Unternehmen und Behörden hat diese Entwicklung unmittelbare praktische Konsequenzen. Das BSI (Bundesamt für Sicherheit in der Informationstechnik) empfiehlt seit Jahren zeitnahes Patchen als Grundschutzmaßnahme, aber wenn sich die Patch-Frequenz verdreifacht, müssen IT-Abteilungen ihre Prozesse grundlegend umstellen. Besonders betroffen sind der Mittelstand und kommunale Verwaltungen, die oft nicht über die Ressourcen für wöchentliche Update-Zyklen verfügen. Der EU Cyber Resilience Act (CRA), der 2027 in Kraft tritt, wird Hersteller zu schnelleren Sicherheitsupdates verpflichten. Die Kombination aus KI-beschleunigter Schwachstellensuche und regulatorischem Druck zwingt auch deutsche Software-Anbieter und IT-Dienstleister, ihre Patch-Prozesse zu automatisieren.
Faktencheck
Die Zahl von 569 CVEs im Juli-Patch-Tuesday ist durch Tenable, Security Boulevard und Help Net Security übereinstimmend dokumentiert. CyberScoop spricht von einer Verdreifachung gegenüber dem Juni-Rekord. Die zwei aktiv ausgenutzten Zero-Days (CVE-2026-56155 und CVE-2026-56164) werden von Tenable und Windows Forum bestätigt. DarkReading berichtet über den Triage-Druck durch die steigende Zahl. Microsofts Bestätigung, dass MDASH autonom Schwachstellen findet, wird von DarkReading und CyberScoop zitiert. Die 271 von Mythos in Firefox gefundenen Schwachstellen sind durch die Cloud Security Alliance und das World Economic Forum dokumentiert. heise online berichtet über die branchenweite Umstellung auf kürzere Patch-Zyklen.
Quelle
- • https://www.tenable.com/blog/microsofts-july-2026-patch-tuesday-addresses-569-cves-cve-2026-56155-cve-2026-56164
- • https://www.darkreading.com/vulnerabilities-threats/records-broken-patch-tuesday-raises-triage-stakes
- • https://cyberscoop.com/microsoft-patch-tuesday-july-2026/
- • https://www.heise.de/news/Lueckenflut-durch-KI-Funde-Software-Hersteller-schrauben-an-Patch-Strategien-11360569.html