Microsoft Patchday Juli 2025 – Cyberangriffe erwartet

Microsoft Patchday Juli 2025 Microsoft erwartet Angriffe innerhalb von 30 Tagen

09.07.2025 Von Thomas Joos 3 min Lesedauer

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

V2_Screen_M.png (SEPPmail - Deutschlang GmbH)

SEPPmail - Deutschland GmbH

Am Patchday im Juli hat Microsoft knapp 140 Updates bereitgestellt. Davon sind zehn als kritisch eingestuft und eine Sicherheitslücke für Microsoft SQL Server ist bereits öffentlich bekannt.

Die gefährlichste Schwachstelle des Microsoft Patchdays im Juli 2025 ist CVE-2025-47981 in der SPNEGO-Erweiterung NEGOEX. Microsoft erwartet erste Attacken innerhalb von 30 Tagen.(Bild: Dall-E / Vogel IT-Medien / KI-generiert) — Die gefährlichste Schwachstelle des Microsoft Patchdays im Juli 2025 ist CVE-2025-47981 in der SPNEGO-Erweiterung NEGOEX. Microsoft erwartet erste Attacken innerhalb von 30 Tagen.
(Bild: Dall-E / Vogel IT-Medien / KI-generiert)

Microsoft adressiert beim Patch Tuesday im Juli 2025 eine ungewöhnlich breite Angriffspalette. Die gefährlichste Sicherheitslücke ist CVE-2025-47981 mit einem CVSS Score von 9.8. Hierbei erlaubt es ein Heap-basierter Pufferüberlauf in der SPNEGO-Erweiterung NEGOEX nicht authentifizierten Angreifern die Ausführung beliebigen Codes über das Netzwerk. Die Komponente verarbeitet Sicherheitsverhandlungen auf GSSAPI-Basis und ist auf allen Windows-Versionen ab 10 Version 1607 standardmäßig aktiv. Ein einzelnes präpariertes Paket genügt, um ohne Benutzerinteraktion und ohne Authentifizierung beliebigen Code mit hohen Rechten auf dem Zielsystem auszuführen.

Der Microsoft Patchday ist immer am zweiten Dienstag des Monats. (Bild: Sahir_Stock - stock.adobe.com)

Die Schwachstelle gilt aufgrund der niedrigen Komplexität und der automatisierbaren Angriffsmöglichkeiten als wormable. Microsoft stuft die Ausnutzbarkeit als „wahrscheinlich“ ein, erste Attacken erwartet der Hersteller innerhalb von 30 Tagen. Besonders brisant ist die Kombination aus vollständigem Kontrollverlust, breiter Plattformbetroffenheit und der Tatsache, dass der Angriffsvektor vollständig netzwerkbasiert ist. Auch ältere Systeme wie Windows Server 2008 R2 bleiben verwundbar, sofern NEGOEX aktiv bleibt. Einzeldomänen, nicht segmentierte Netze oder veraltete Authentifizierungsmechanismen verstärken die Wirkung der Schwachstelle zusätzlich.

Mit kostenlosen Tools wie Windows Update Mini Tool und Co bekommen Admins mehr Kontrolle über Updates in Windows. (Bild: Miha Creative - stock.adobe.com)

Gefährliche Sicherheitslücke in SharePoint

Wichtig ist bei diesem Patchday auch die Schwachstelle CVE-2025-49704 in SharePoint , die ursprünglich auf der Pwn2Own in Berlin demonstriert wurde. Dort kombinierte das vietnamesische Forscherteam eine Codeausführung mit einer Authentifizierungsumgehung und zeigte, dass klassische Schutzmechanismen schnell ins Leere laufen. Mit einem CVSS Score von 8.8 zählt die Schwachstelle zu den gefährlichsten im Webumfeld.

Kostenpflichtiger Support für Windows 10 oder doch Windows 11? Aber welche Hardware wird dafür benötigt? Oder doch lieber ein ganz neues Betriebssystem? Diese und weitere Fragen sollten sich Nutzer möglichst bald stellen – wir liefern alle wichtigen Infos zum Support-Ende von Windows 10. (Bild: Dall-E / Vogel IT-Medien / KI-generiert)

Auch Microsoft Office bleibt ein wiederkehrendes Risiko. Gleich vier Schwachstellen (CVE-2025-49695, CVE-2025-49696, CVE-2025-49697, CVE-2025-49702) nutzen erneut das Vorschaufenster als Einfallstor. Mac-Anwender bleiben weiterhin ohne Updates.

Die Tatsache, dass diese Angriffsform bereits den dritten Monat in Folge kritisch eingestuft wird, deutet auf strukturelle Schwächen oder unzureichende Patch-Qualität hin. Neben SharePoint und Office zählen auch SQL Server (CVE-2025-49717), SPNEGO (CVE-2025-47981), Hyper-V (CVE-2025-48822), Intune (CVE-2025-47178) und diverse Windows-Dienste zu den betroffenen Komponenten. Schwachstellen entfallen erneut auf die Routing- und RAS-Dienste (unter anderem CVE-2025-49688), auf BitLocker (zum Beispiel CVE-2025-48001) sowie auf Virtual Hard Disks (unter anderem CVE-2025-49683). Das Spektrum reicht von Informationslecks über Rechteausweitungen bis hin zu kritischen Remotecodeausführungen mit weitreichenden Folgen.

Für eine Sicherheitslücke, die alle Windows-Versionen ab Windows 7 und Server 2008 R2 betrifft, gibt es noch keinen Patch von Microsoft. (Bild: Dall-E / KI-generiert)

SQL Server: Schwachstelle erlaubt Offenlegung uninitialisierter Speicherinhalte

Die Sicherheislücke CVE-2025-49719 ist in allen aktuellen Versionen von Microsoft SQL Server offen und auch öffentlich bekannt. Ein fehlerhaftes Eingabevalidierungsverfahren in Microsoft SQL Server öffnet Angreifern die Tür zu uninitialisiertem Speicher. Die Schwachstelle erlaubt eine nicht authentifizierte Informationsoffenlegung über das Netzwerk und hat einen CVSS Score von 7.5. Angreifer benötigen weder Rechte noch Interaktion mit dem Zielsystem, was das Risiko weiter erhöht. Die Offenlegung erfolgte öffentlich, ein Exploit ist bislang nicht bekannt.

Mit Einführung des Hotpatching für Windows 11 muss man einen PC nicht mehr (mindestens) 12x im Jahr neu starten, sondern nur noch 4x, im Rahmen der Installation der Baseline-Updates. (Bild: © Miha Creative - stock.adobe.com)

Betroffen sind unter anderem SQL Server 2022 ab CU19, SQL Server 2019 ab CU32 sowie ältere Versionen bis zurück zu SQL Server 2016. Auch SQL-Instanzen auf Azure-IaaS-Plattformen sind potenziell verwundbar. Die offengelegten Speicherbereiche können sensible Informationen enthalten, deren Preisgabe insbesondere in Mehrmandantenumgebungen oder bei eingebetteten Sicherheitsfunktionen zu Folgerisiken führt.

Microsoft-Produkte wie Windows, Azure, Office, Dynamics Visual Studio und viele mehr werden ausgemustert oder werden auf erweiterten Support umgestellt oder erhalten gar keinen Support mehr. (Bild: Dall-E / Vogel IT-Medien GmbH / KI-generiert)

SQL Server: Pufferüberlauf ermöglicht Codeausführung auf dem Host

Ein Heap-basierter Pufferüberlauf in SQL Server erlaubt authentifizierten Angreifern, über speziell konstruierte Abfragen nicht nur Code innerhalb des SQL-Kontexts auszuführen, sondern auch aus der Datenbankumgebung auszubrechen und direkt auf dem Hostsystem zu operieren. Die Sicherheitslücke CVE-2025-49717 hat einen CVSS Score von 8.5. Die Schwachstelle betrifft Editionen ab SQL Server 2016 und lässt sich über das Netzwerk mit niedrigen Rechten auslösen, erfordert allerdings zusätzliche Vorbereitungsschritte. Der Angriff verändert den Scope und unterläuft damit das zugrundeliegende Sicherheitsmodell vollständig. Besonders kritisch: Systeme, die eigene oder Drittanbieteranwendungen mit OLE DB verwenden, benötigen eine Aktualisierung auf Version 18 oder 19 des Microsoft OLE DB-Treibers, um den Schutz wirksam umzusetzen. In komplexeren Umgebungen ist die Absicherung dadurch erschwert, da sie über die bloße Installation eines Sicherheitsupdates hinausgeht.

Windows Update ist langsam und unflexibel geworden. Mit den neuen Checkpoint Updates bekommen Windows 11 und Windows Server 2025 inkrementelle Aktualisierungen, die sich schneller installieren und besser verteilen lassen. (Bild: Kiattisak - stock.adobe.com)

Ihre Meinung zu den Patchday-News ist gefragt!

Seit vielen Jahren veröffentlichen wir regelmäßig Meldungen zum Microsoft Patchday. Wir würden gerne von Ihnen wissen, wie wir die Meldungen noch nützlicher für Ihre tägliche Arbeit machen können. Welche Infos wünschen Sie sich zusätzlich, was können wir übersichtlicher machen, was weglassen? Schreiben Sie uns eine E-Mail! Wir lesen jede Zuschrift, versprochen!

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Stand: 08.12.2025

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel IT-Medien GmbH, Max-Josef-Metzger-Straße 21, 86157 Augsburg, einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von Newslettern und Werbung nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Meine Einwilligung umfasst zudem die Verarbeitung meiner E-Mail-Adresse und Telefonnummer für den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern wie z.B. LinkedIN, Google und Meta. Hierfür darf die Vogel Communications Group die genannten Daten gehasht an Werbepartner übermitteln, die diese Daten dann nutzen, um feststellen zu können, ob ich ebenfalls Mitglied auf den besagten Werbepartnerportalen bin. Die Vogel Communications Group nutzt diese Funktion zu Zwecken des Retargeting (Upselling, Crossselling und Kundenbindung), der Generierung von sog. Lookalike Audiences zur Neukundengewinnung und als Ausschlussgrundlage für laufende Werbekampagnen. Weitere Informationen kann ich dem Abschnitt „Datenabgleich zu Marketingzwecken“ in der Datenschutzerklärung entnehmen.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden. Dies gilt nicht für den Datenabgleich zu Marketingzwecken.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://contact.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung.

Mit Windows Server 2025 hat Microsoft die Technik des „Hotpatching“ verbessert und in allen Editionen von Windows Server 2025 integriert. Zusammen mit Azure Arc bringt Microsoft Hotpatching ins lokale Rechenzentrum. (Bild: Pakin - stock.adobe.com)

(ID:50469848)