Oracle hat im Juli 2026 mit 1.449 geschlossenen Schwachstellen den bisher größten Patchday des Jahres veröffentlicht, darunter 212 kritische Si­cher­heits­lü­cken. Auch die Patch-Anzahl bei anderen Herstellern nahm im Laufe des Jahres immer mehr zu.

Microsoft schließt das Jahr mit 57 neuen CVEs in Windows, Office, Exchange, Azure, Copilot, PowerShell und Windows Defender ab. Unter Einbeziehung der Chromium-Korrekturen wächst die Zahl auf 71 Schwachstellen.

Neben dem Microsoft Patchday gibt es auch von Oracle regelmäßige Patchdays. Diese finden vier Mal im Jahr statt. Wann die Oracle die CPUs und PSUs veröffentlicht, lesen Sie hier.

Die CISA meldet die Ausnutzung von zwei Sicherheitslücken, die bereits 17 und 14 Jahre alt sind. Anfällig sind EoL‑Versionen von Office und Visual Basic for Applications, die keine Sicherheitsupdates mehr erhalten. Un­ternehmen sollten dringend auf unterstützte Versionen migrieren.

Der Patchday ist ein von Microsoft geprägter Begriff. Er bezeichnet den Tag an dem Hersteller Software Updates veröffentlichen. Microsoft und SAP haben ihre Patchdays am zweiten Dienstag eines jeden Monats, Oracle hat vier Termine im Jahr.

Microsoft schließt im November 2025 insgesamt 63 Sicherheitslücken in Windows, Office, Azure und weiteren Produkten. Vier Schwachstellen sind kritisch, eine wird aktiv ausgenutzt. Erstmals erhalten auch Windows-10-Systeme im ESU-Programm vollständige Sicherheitsupdates.

KI hat die Schwachstellensuche für Verteidiger wie auch Angreifer be­schleunigt und damit das Patch-Management enorm unter Druck gesetzt. Drei Systemhäuser berichten von den neuen Anforderungen, die die Schwachstellen-Flut mit sich bringt.

Zwei Sicherheitslücken gefährden derzeit ein breites Spektrum an Micro­soft-Kunden. Während der Hersteller an einer Lösung für eine Cross-site-scripting-Schwachstelle im Exchange Server bastelt, können Angreifer die BitLocker-Verschlüsselung aushebeln.

Der Oktober-Patchday umfasst 177 sicherheitsrelevante Korrekturen für Windows, Office, Azure, Edge, Hyper-V, Exchange, .NET, Visual Studio, BitLocker und Xbox. Mit den zusätzlich einbezogenen Drittanbieter-Einträgen steigt die Gesamtzahl auf 195 CVEs. 16 davon sind kritisch, drei werden aktiv ausgenutzt, drei sind öffentlich bekannt.

Thomas Joos, dedizierter Microsoft-Experten erläutert im vierten Teil unserer Podcast-Reihe zum Support-Ende von Windows 10 die gefundenen und gepatchten Schwachstellen des Patch Tuesdays im Oktober. Darunter sind die letzten Sicherheitsupdates für Windows 10.