KB5099539

Microsoft hat das kumulative Update KB5099539 (Build 19045.7548) für Windows 10 Version 22H2 im Rahmen des Juli-2026-Patch Tuesday veröffentlicht. Das Paket ist für Geräte mit x86-, x64- (AMD64) und ARM64-Prozessoren bestimmt, die im Programm für erweiterte Sicherheitsupdates (ESU) registriert sind. Das Update enthält verschiedene Sicherheitsverbesserungen für interne Betriebssystemfunktionen. Insgesamt hat Microsoft 570 Sicherheitsprobleme behoben, darunter drei Zero-Day-Schwachstellen.

• Drittanbieteranwendungen und OLE-Automatisierung. Ein Problem wurde behoben, das nach der Installation des Juni-Sicherheitsupdates auftrat. Einige Anwendungen, die OLE-Automatisierung für die Interaktion mit Microsoft Office verwenden, konnten Office nicht starten oder Dokumente nicht öffnen.
• Datei-Explorer und OneDrive. Ein Problem wurde behoben, bei dem die OneDrive-Verknüpfung nicht funktionierte, wenn der Datei-Explorer als Administrator gestartet wurde.
• Papierkorb. Ein Fehler wurde behoben, bei dem der Bestätigungsdialog für das endgültige Löschen den internen Dateinamen aus dem Papierkorb anstelle des ursprünglichen Namens anzeigte.
• Tastenkombinationen. Das Verhalten beim Aufheben der Registrierung und Löschen von Tastenkombinationen wurde geändert. In seltenen Fällen reagieren einige integrierte Windows-Funktionen vorübergehend nicht mehr auf bestimmte Kombinationen. Ein Neustart der Anwendung hilft normalerweise.
• Dynamische Secure Boot-Anzeige. In der App „Windows-Sicherheit“ ist eine dynamische Anzeige des Secure Boot-Status erschienen. Windows-Qualitätsupdates enthalten jetzt zusätzliche hochzuverlässige Daten für die Geräteausrichtung, wodurch die Abdeckung von Geräten erweitert wird, die automatisch neue Secure Boot-Zertifikate erhalten können. Geräte erhalten neue Zertifikate erst, nachdem sie eine ausreichende Anzahl erfolgreicher Updatesignale gezeigt haben, was eine kontrollierte und schrittweise Bereitstellung ermöglicht.
• Netzwerksicherheitshärtung. Die Sicherheitsanforderungen für die Registrierung von TDI-Transporten wurden verstärkt. Anwendungen, die Sockets über nicht registrierte Drittanbieter-TDI-Transporte verwenden, funktionieren nach der Installation des Updates möglicherweise nicht mehr. Registrierte Transporte sind von dieser Änderung nicht betroffen.
• RDP-Sicherheit. Für vertrauenswürdige RDP-Herausgeber wurde Unterstützung für SHA-2-Zertifikatfingerabdrücke hinzugefügt. SHA-1 bleibt vorerst aus Kompatibilitätsgründen erhalten, wird aber in Zukunft entfernt. Microsoft empfiehlt, so schnell wie möglich zu SHA-256 oder einem stärkeren Algorithmus zu wechseln.

Um das Update zu installieren, öffnen Sie die Einstellungen, gehen Sie zu Update und Sicherheit und klicken Sie auf Nach Updates suchen. Das kumulative Paket KB5099539 wird automatisch über Windows Update installiert.

So funktionieren die neuen Funktionen:

Drittanbieteranwendungen und OLE Automation. Ein Problem wurde behoben, das nach dem Juni-Sicherheitsupdate auftrat, wobei der Aufruf von CoCreateInstance oder IUnknown-Schnittstellen zur Automatisierung von Microsoft Office mit einem COM-Server-Initialisierungsfehler fehlschlug. Der OLE-Automatisierungsmechanismus konnte die CLSID der Anwendung in der Registrierung nicht korrekt zuordnen, was den Out-of-Process-Start und die Dokumentbearbeitung aufgrund eines Klassenfabrikfehlers blockierte.

Datei-Explorer und OneDrive. Ein Defekt wurde behoben, bei dem der OneDrive-Synchronisierungsclient seinen Namespace-Handler nicht initialisierte, wenn die Prozessprivilegien von explorer.exe auf Administratorebene erhöht wurden. Die Trennung der obligatorischen Integritätskontrolle verursachte einen Junction-Point-Injection-Fehler, sodass ein Klick auf den Stammverweis im Navigationsbereich keine Weiterleitung auf den lokal zwischengespeicherten Dateisystem-Snapshot auslöste.

Papierkorb. Ein Fehler im Dialog zur endgültigen Löschbestätigung wurde behoben, bei dem anstelle des Originalnamens die interne Systemkennung der $I-Datei aus dem versteckten Ordner S-1-5-21-* angezeigt wurde. Während eines SHFileOperation-Aufrufs löste der Parser den symbolischen Link in der Datenabgleichsphase aus dem PropertySetStorage-Stream fälschlicherweise auf und ersetzte den benutzerfreundlichen Namen durch einen technischen.

Tastenkombinationen. Die Logik zum Abmelden globaler Tastenkombinationen über UnregisterHotKey und zum Löschen von Atomen mittels GlobalDeleteAtom wurde geändert. In seltenen Thread-Race-Conditions konnte die interne Hash-Tabelle auf Kernelebene veraltete Zeiger auf freigegebene tagSHOTKEY-Strukturen enthalten. Dies blockierte vorübergehend die Zuweisung von Systemkombinationen und legte den WM_HOTKEY-Handler bis zum Neustart der Shell lahm.

Dynamische Secure Boot-Anzeige. Eine dynamische Anzeige des Secure Boot-Status, die den aktuellen Zustand der UEFI-Variablen SetupMode und SecureBoot widerspiegelt, wurde in der Windows-Sicherheits-App implementiert. Qualitätsupdates enthalten nun hochzuverlässige Telemetriesignale für das Geräte-Targeting, wodurch die Abdeckung von Geräten erweitert wird, die automatisch neue Zertifikate des db-Subsystems erst nach Erreichen einer Schwelle erfolgreicher Updates in einer kontrollierten Bereitstellungsphase erhalten.

Netzwerksicherheits-Härtung. Die Sicherheitsanforderungen für die Registrierung von TDI-Transporten über TdiRegisterPnPHandlers wurden verschärft. Anwendungen, die Sockets über nicht registrierte Drittanbieter-Filtertreiber erstellen, können die Netzwerkfunktionalität verlieren. Legitime Transporte, die ordnungsgemäß im Registrierungsschlüssel HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Linkage aufgeführt sind, sind von der Änderung des Validierungsflags des I/O-Managers nicht betroffen.

RDP-Sicherheit. Die integrierte Unterstützung für SHA-2-Fingerabdrücke für vertrauenswürdige Remotedesktop-Herausgeber wurde hinzugefügt, was die Serverauthentifizierung mit dem Algorithmus CERT_SHA256_HASH_PROP_ID ermöglicht. SHA-1 wird derzeit aus Gründen der Abwärtskompatibilität auf der Schannel-Ebene beibehalten, soll aber entfernt werden. Es wird ein Übergang zu SHA-256 oder einem stärkeren Algorithmus im SignatureAlgorithm-Feld des Zertifikats empfohlen, um Kollisionen zu verhindern und den TLS-Tunnel zu stärken.

Die letzten 10 Windows-Updates: