KB5099414

Microsoft hat das kumulative Update KB5099414 für Windows 11 Version 23H2 (2023 Update) im Rahmen des Juli-Patch-Dienstags 2026 veröffentlicht. Die Build-Nummer lautet 22631.7376. Das Hauptziel der Veröffentlichung ist die Behebung von 570 Sicherheitsproblemen, darunter drei Zero-Day-Schwachstellen, sowie die Einführung einer Reihe von Verbesserungen an internen Funktionen des Betriebssystems. Wenn frühere Updates installiert sind, werden nur die neuen Komponenten dieses Pakets heruntergeladen und installiert.

• Sicherheit. Das in Windows integrierte curl-Tool wurde auf Version 8.21.0 aktualisiert. Das Update enthält außerdem verschiedene Sicherheitsverbesserungen für interne Betriebssystemfunktionen für Juli 2026 und trägt zum Schutz des Geräts bei. Insgesamt hat Microsoft am Patch-Dienstag im Juli 2026 570 Sicherheitsprobleme behoben, darunter drei Zero-Day-Schwachstellen.
• Sicherer Start. Die Liste der Geräte, die automatisch neue Secure Boot-Zertifikate erhalten können, wurde erweitert. Deren Bereitstellung über Windows Update wird in den kommenden Monaten auf unterstützten PCs und nicht verwalteten Unternehmensgeräten fortgesetzt.
• Drittanbieteranwendungen. Ein Problem wurde behoben, das nach der Installation des Juni-Sicherheitsupdates KB5093998 auftrat. Einige Anwendungen, die OLE-Automatisierung für die Interaktion mit Microsoft Office verwenden, konnten Office nicht starten oder Dokumente nicht öffnen.
• Datei-Explorer. Ein Problem wurde behoben, bei dem die OneDrive-Verknüpfung nicht funktionierte, wenn der Datei-Explorer als Administrator gestartet wurde.
• Landes- und Betreibereinstellungen. Profile einiger Mobilfunkbetreiber wurden aktualisiert.
• Tastenkombinationen. Das Verhalten beim Aufheben der Registrierung und Löschen von Tastenkombinationen wurde geändert. In seltenen Fällen reagieren einige integrierte Windows-Funktionen vorübergehend nicht mehr auf bestimmte Kombinationen. Normalerweise hilft ein Neustart der Anwendung.
• Netzwerk. Die Sicherheitsanforderungen für die Registrierung von TDI-Transporten wurden verschärft. Anwendungen, die Sockets über nicht registrierte Drittanbieter-TDI-Transporte verwenden, funktionieren nach der Installation des Updates möglicherweise nicht mehr. Registrierte Transporte sind von dieser Änderung nicht betroffen.
• Papierkorb. Ein Fehler wurde behoben, bei dem im Bestätigungsdialog für das endgültige Löschen der interne Dateiname aus dem Papierkorb anstelle des ursprünglichen Namens angezeigt wurde.
• RDP-Sicherheit. Unterstützung für SHA-2-Zertifikatfingerabdrücke für vertrauenswürdige RDP-Herausgeber wurde hinzugefügt. SHA-1 bleibt vorerst aus Kompatibilitätsgründen erhalten, wird aber in Zukunft entfernt. Microsoft empfiehlt, so bald wie möglich auf SHA-256 oder einen stärkeren Algorithmus umzusteigen.

Derzeit sind keine bekannten Probleme verzeichnet. Um das Update KB5099414 zu installieren, öffnen Sie die Einstellungen, gehen Sie zu Windows Update und klicken Sie auf Nach Updates suchen. Das Paket wird automatisch installiert. Was nicht in den Haupttext passte: Dieses kumulative Update ist obligatorisch und wird über den standardmäßigen Windows-Wartungsmechanismus heruntergeladen; für Home- und Pro-Editionen kann die Bereitstellung nach dem Standardzeitplan erfolgen, während Enterprise- und Education-Editionen sofort verfügbar sind.

So funktionieren die neuen Funktionen:

Sicherheit. Das integrierte Windows-Dienstprogramm curl.exe wurde auf Version 8.21.0 aktualisiert, was die Integration einer aktualisierten Codebasis mit behobenen URL-Parsing-Schwachstellen und verbesserter TLS 1.3-Unterstützung impliziert. Das kumulative Juli-Paket behebt 570 Sicherheitslücken in Kernel-Komponenten, dem Grafiksubsystem und dem Netzwerkstack, darunter drei aktiv ausgenutzte Zero-Days, und verhindert so Rechteausweitungen und Remotecodeausführung.

Sicherer Start (Secure Boot). Die Liste der Geräte, deren Trusted Platform Module und UEFI-Firmware es erlauben, automatisch erneuerte Secure Boot-Zertifikate über den Aktualisierungsmechanismus der Signaturdatenbank (DBX) und der Schlüsselaustauschschlüssel (KEK) zu beziehen, wurde erweitert. Diese automatische Bereitstellung über Windows Update betrifft unterstützte PCs und nicht verwaltete Unternehmensgeräte und verlängert die Lebensdauer der vertrauenswürdigen Umgebung ohne manuelles Eingreifen des Administrators.

Drittanbieteranwendungen. Eine durch das Sicherheitsupdate KB5093998 verursachte Regression in der OLE-Automatisierungsinfrastruktur wurde behoben. Das Problem bestand in einem Fehler beim Marshalling von Schnittstellen beim Aufruf von COM-Server-Methoden von Microsoft Office-Anwendungen durch externe Clients: Der Versuch, die Dispatch-Schnittstelle zu erhalten, endete mit einem Fehler, der den Start von Office-Prozessen und das Öffnen von Dokumenten über CoCreateInstance-Aufrufe blockierte.

Datei-Explorer. Ein Fehler in der Interaktionslogik mit Analysepunkten wurde behoben, der dazu führte, dass die OneDrive-Verknüpfung beim Starten der Shell mit erhöhten Rechten nicht zugänglich war. Die Ursache lag in der Namespace-Isolation des Umleiters: Ein als Administrator ausgeführter Prozess verlor den Zugriff auf die symbolische Verknüpfung, die im Kontext eines Standardbenutzers erstellt wurde.

Landes- und Betreibereinstellungen. Die Zugangspunktdatenbanken (APN) und Konfigurationsprofilpakete für eine Reihe von Mobilfunkanbietern wurden aktualisiert. Dies betrifft die voreingestellten Parameter für die Mobilfunknetzregistrierung und Roaming-Einstellungen, sodass Geräte mit Mobilfunkmodems das Heimnetz korrekt identifizieren und eine IP-Adresse beziehen können, ohne die PDP-Kontexteinstellungen manuell eingeben zu müssen.

Tastenkombinationen. Die interne Verarbeitung der Löschung globaler Tastatur-Hook-Registrierungen und Zugriffstasten-Tabellen bei der Abmeldung von Tastenkombinationen wurde geändert. In seltenen Fällen konnte der Zustand des Eingabesynchronisations-Mutex gesperrt bleiben, was zu einer vorübergehenden Nichtreaktion der WM_HOTKEY-Systemhandler führte; normalerweise hilft ein erzwungener Neustart der Anwendung, die Nachrichtenwarteschlange zu leeren.

Netzwerk. Die Sicherheitsanforderungen für die TDI-Transportregistrierung wurden verschärft: Der Kernel verlangt nun eine obligatorische Registrierung über eine legitime Treibersignatur, um Dispatch-Funktionen aufzurufen. Anwendungen, die Low-Level-Sockets über nicht registrierte Filter von Drittanbietertreibern nutzen und dabei den Winsock-Kernel-Stack umgehen, stellen ihre Funktion ein, während registrierte Transporte nicht betroffen sind.

Papierkorb. Ein Fehler im Dialog zur endgültigen Löschung wurde behoben, bei dem anstelle des ursprünglichen Anzeigenamens eine interne Platzhalterreferenz angezeigt wurde, die beim Verschieben in das Verzeichnis S-1-5-21-*\Recycle.Bin vergeben wurde. Der Fehler trat beim Abrufen der System.ItemNameDisplay-Eigenschaft aus der $I-Deskriptordatei auf, wobei die Metadaten vor der endgültigen Darstellung des Dialogfensters falsch extrahiert wurden.

RDP-Sicherheit. Die Verarbeitung von SHA-2-Zertifikatfingerabdrücken zur Validierung von Remotedesktop-Herausgebern wurde implementiert, sodass der Client das Gateway-Zertifikat anhand einer robusteren Hash-Summe überprüfen kann. SHA-1 wird vorübergehend aus Gründen der Abwärtskompatibilität mit älteren Bereitstellungen beibehalten, aber die Clientseite bevorzugt nun SHA-256, indem sie CertGetCertificateChain mit dem Flag für die strikte Kettenprüfung auf veraltete Algorithmen aufruft.

Die letzten 10 Windows-Updates: