Patch Tuesday של Microsoft ביולי: כ-570 חולשות, ושתיים כבר מנוצלות

ב-Patch Tuesday יולי 2026 Microsoft סגרה כ-570 חולשות, וזה שיא. שתיים מהן כבר היו בשימוש תוקפים לפני שהתיקון יצא. אחת ב-AD FS והשנייה ב-SharePoint Server. לפי Krebs on Security, הכמות כמעט פי שלושה מזו של יוני.

המספר תלוי במי שסופר. Tenable ספרה 569 חולשות, Krebs מציין לפחות 570, ו-CrowdStrike ספרה 622. בכל הספירות זה השיא של Microsoft.

שתי חולשות ב-Patch Tuesday יולי שתוקפים כבר מנצלים

הראשונה, CVE-2026-56155, היא חולשה ב-AD FS (Active Directory Federation Services), השירות שמנהל כניסה מאוחדת בארגונים. לפי CrowdStrike, תוקף מקומי עם הרשאות נמוכות יכול לקבל הרשאות מנהל. הוא לא צריך שמשתמש יעשה דבר. ציון החומרה הוא 7.8, ו-Tenable מציינת שצוות DART של Microsoft זיהה אותה.

השנייה, CVE-2026-56164, היא חולשה ב-SharePoint Server. תוקף מרחוק לא צריך להזדהות כדי לנצל אותה. Microsoft דירגה אותה כבינונית, עם ציון 5.3. אל תתנו לדירוג להרגיע אתכם, כי תוקפים כבר מנצלים אותה. היא חלה על SharePoint Server 2016, על 2019 ועל Subscription Edition.

אם אי אפשר לעדכן מיד, Microsoft ממליצה על מיתון. יש להפעיל סריקת AMSI ולהגדיר Request Body Scan לערך Full. ב-14 ביולי CISA הוסיפה את שתי החולשות לקטלוג KEV, רשימת החולשות שתוקפים כבר מנצלים בפועל.

למה Microsoft מתקנת כל כך הרבה

Microsoft מייחסת את הזינוק לגילוי חולשות בעזרת בינה מלאכותית. ב-9 ביולי פרסם פאבן דבולורי, סמנכ״ל בכיר ב-Microsoft, פוסט בנושא. הוא מזהיר מעדכוני אבטחה בהיקף גדול בכל מהדורה. Tenable מוסיפה שהחברה משתמשת במערכת סריקה בשם MDASH, שמאיצה את הגילוי.

המגמה רחבה מ-Microsoft. לפי Krebs, Adobe מתחילה להוציא עדכוני אבטחה פעמיים בחודש, ביום שלישי השני והרביעי. Chris Goettl מ-Ivanti, שמצוטט אצלו, מוסיף ש-Cisco, Mozilla ו-Oracle מוציאות עדכונים בתדירות גבוהה.

המשמעות לצוותי IT היא עומס קבוע של עדכונים גדולים. Krebs ממליץ לגבות מערכות לפני ההתקנה, ומזכיר שעדכון בהיקף כזה מגדיל את הסיכון לתקלות. לדבריו, אפשר לשקול להמתין כמה ימים. החולשות המנוצלות הן החריג, ואותן אל תדחו.

הפרצות הקריטיות ב-Patch Tuesday יולי שכדאי להכיר

CrowdStrike מונה כמה חולשות קריטיות נוספות. CVE-2026-56190 ב-RDP מאפשרת הרצת קוד בלי הזדהות, כשאימות NLA כבוי. ציון החומרה שלה הוא 9.8, ו-CrowdStrike עצמה גילתה אותה.

ב-Windows DHCP יש חמש חולשות קריטיות להרצת קוד מרחוק, ושתיים מהן בציון 9.8. ב-Hyper-V, ברכיב VMSwitch, חולשה בציון 9.9 מאפשרת לתוקף במכונה וירטואלית לקבל הרשאות במארח. ב-Office יש תשע חולשות קריטיות, וחלונית התצוגה המקדימה היא וקטור תקיפה בכולן.

ב-BitLocker, CVE-2026-50661 עוקפת את ההצפנה, אבל רק למי שיש גישה פיזית למכשיר. פרטיה כבר היו ידועים ברבים לפני התיקון. Microsoft לא מכירה ניצול פעיל שלה, לפי Krebs. ציון החומרה הוא 6.1.

חולשה אחת נשארה בלי תיקון: LegacyHive, קוד הדגמה לעליית הרשאות ב-Windows. לפי CrowdStrike, הוא הופיע ברשת כחצי שעה אחרי הפרסום של Microsoft. אין לו עדיין CVE ותיקון. לדברי CrowdStrike, הוא עשוי לאפשר התבססות במחשב, גניבת סיסמאות והשבתת כלי אבטחה.

עוד ב-GEEKLIK: Patch Tuesday של ספטמבר: Microsoft תיקנה כמעט אלף חולשות, שתיים כבר נוצלו

מה הלאה

הקצב הגבוה לא נראה חד-פעמי. Microsoft הבהירה ב-9 ביולי שהיקף העדכונים הגדול ילווה אתכם גם במהדורות הבאות. לכן כדאי לבנות תהליך שמפריד בין חולשות שתוקפים כבר מנצלים לשאר. אל תנסו להתקין הכול ביום אחד.