Microsoft heeft tijdens de Patch Tuesday van juli een ongekend groot aantal beveiligingslekken gedicht. In totaal zijn 570 kwetsbaarheden verholpen in Windows en andere Microsoft-producten, bijna drie keer zoveel als tijdens de eveneens omvangrijke update van vorige maand. Volgens Microsoft is de sterke toename vooral het gevolg van AI, dat het opsporen van kwetsbaarheden aanzienlijk versnelt.
Van de verholpen kwetsbaarheden kregen er bijna zestig de classificatie ‘kritiek’ meldt KrebsonSecurity. Daarnaast lost Microsoft drie zero-daylekken op, waarvan twee al actief door aanvallers worden misbruikt.
Twee actief misbruikte zero-days
De twee actief geëxploiteerde zero-days maken privilege escalation mogelijk. Aanvallers die al toegang tot een systeem hebben, kunnen hiermee hogere rechten verkrijgen en zo verdere controle over het systeem krijgen. Het gaat om CVE-2026-56155 in Active Directory Federation Services en CVE-2026-56164 in SharePoint.
Daarnaast repareert Microsoft nog ongeveer 250 andere kwetsbaarheden waarmee gebruikersrechten kunnen worden verhoogd.
Een derde zero-day betreft CVE-2026-50661 in BitLocker. Deze kwetsbaarheid maakt het mogelijk de schijfversleuteling te omzeilen wanneer een aanvaller fysieke toegang heeft tot een apparaat. Microsoft benadrukt dat de kwetsbaarheid inmiddels openbaar bekend is, maar zegt geen aanwijzingen te hebben dat deze momenteel wordt misbruikt.
Kwetsbaarheid in Copilot
Een van de zwaarst beoordeelde kwetsbaarheden deze maand is CVE-2026-48561, een remote code execution-lek in Microsoft Copilot met een CVSS-score van 9,6. Volgens Microsoft kan een aanvaller misbruik maken van Microsoft Edge voor Android door een speciaal geprepareerde website aan te bieden. Bij het bezoeken van die pagina kan de browser automatisch kwaadaardige prompts naar Copilot sturen, waardoor op afstand code kan worden uitgevoerd.
AI zorgt voor meer patches
Microsoft waarschuwde vorige week al dat gebruikers rekening moeten houden met grotere Patch Tuesday-updates. Volgens Pavan Davuluri, Executive Vice President bij Microsoft, verandert AI het tempo waarin kwetsbaarheden worden ontdekt fundamenteel.
Doordat AI grote hoeveelheden broncode snel kan analyseren, worden volgens Microsoft meer kwetsbaarheden gevonden voordat aanvallers daarvan gebruik kunnen maken. Het bedrijf ziet de stijging van het aantal patches daarom niet als een verslechtering van de softwarekwaliteit, maar als een gevolg van efficiëntere beveiligingsanalyses.
Ook aanvallers profiteren van AI
Beveiligingsonderzoekers plaatsen daar wel een kanttekening bij. Satnam Narang van Tenable stelt dat AI niet alleen verdedigers helpt, maar ook aanvallers. Hij wijst erop dat moderne AI-modellen steeds sneller werkende exploits kunnen genereren voor bekende kwetsbaarheden.
Volgens Narang sluit Microsoft’s exploitability index daardoor minder goed aan op de huidige realiteit. Als voorbeeld noemt hij de SharePoint-zero-day van deze maand, die aanvankelijk als ‘minder waarschijnlijk exploiteerbaar’ werd beoordeeld, maar al snel op de lijst van actief misbruikte kwetsbaarheden van de Amerikaanse cyberbeveiligingsdienst CISA terechtkwam.
Hij verwijst daarbij naar recent onderzoek van Anthropic, waaruit bleek dat een AI-model voor dertien van de veertien kwetsbaarheden die Microsoft als lastig exploiteerbaar had aangemerkt, zonder veel moeite een proof-of-concept-exploit kon genereren.
Versnelling zichtbaar in hele softwaresector
Volgens Ivanti ziet dezelfde ontwikkeling zich ook bij andere softwareleveranciers af. Adobe publiceert voortaan twee keer per maand beveiligingsupdates en noemt eveneens AI als reden voor het hogere tempo. Ook Cisco, Mozilla en Oracle brengen vaker patches uit. Google repareerde in juni zelfs meer dan 900 beveiligingskwetsbaarheden.
Voor IT-beheerders betekent de update van deze maand een uitzonderlijk omvangrijke patchronde. Gezien het grote aantal wijzigingen adviseren beveiligingsexperts organisaties eerst te testen voordat de updates breed worden uitgerold, om onverwachte compatibiliteits- of stabiliteitsproblemen te voorkomen.