Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Microsoft opravuje více než 600 zranitelností v rámci Patch Tuesday
Microsoft v rámci červencového „Patch Tuesday“ vydal opravy pro více než 600 zranitelností, z toho 2 aktivně zneužívané. Nejzávažnější z nich jsou popsány níže, zbývající včetně dostupných oprav jsou uvedeny na [1][2].
Neautentizovanému vzdálenému útočníkovi je v důsledku chybějící autentizace kritické funkce v produktu Microsoft SharePoint Server umožněno eskalovat svá oprávnění. Tato zranitelnost je již aktivně zneužívána [3].
Zranitelnost se nachází v produktech:
- Microsoft SharePoint Enterprise Server 2016; >=16.0.0, <16.0.5561.1001
- Microsoft SharePoint Server 2019; >=16.0.0, <16.0.10417.20175
- Microsoft SharePoint Server Subscription Edition; >=16.0.0, <16.0.19725.20434
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N/E:F/RL:O/RC:C
Více informací:
- CVE-2026-56164 na cve.org, NVD
- CWE-306: Missing Authentication for Critical Function na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 7. 2026.
Autentizovanému lokálnímu útočníkovi je v důsledku nedostatečné úrovně řízení přístupu ve službě Active Directory Federation Services (AD FS) v systémech Windows a Windows Server umožněno eskalovat svá oprávnění. Tato zranitelnost je již aktivně zneužívána [4].
Zranitelnost se nachází v produktech:
- Windows 10 Version 1607; >=10.0.14393.0, <10.0.14393.9339
- Windows 10 Version 1809; >=10.0.17763.0, <10.0.17763.9020
- Windows Server 2012; >=6.2.9200.0, <6.2.9200.26226
- Windows Server 2012 (Server Core); >=6.2.9200.0, <6.2.9200.26226
- Windows Server 2012 R2; >=6.3.9600.0, <6.3.9600.23291
- Windows Server 2012 R2 (Server Core); >=6.3.9600.0, <6.3.9600.23291
- Windows Server 2016; >=10.0.14393.0, <10.0.14393.9339
- Windows Server 2016 (Server Core); >=10.0.14393.0, <10.0.14393.9339
- Windows Server 2019; >=10.0.17763.0, <10.0.17763.9020
- Windows Server 2019 (Server Core); >=10.0.17763.0, <10.0.17763.9020
- Windows Server 2022; >=10.0.20348.0, <10.0.20348.5386
- Windows Server 2025; >=10.0.26100.0, <10.0.26100.33158
- Windows Server 2025 (Server Core); >=10.0.26100.0, <10.0.26100.33158
CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C
Více informací:
- CVE-2026-56155 na cve.org, NVD
- CWE-1220: Insufficient Granularity of Access Control na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 7. 2026.
Autentizovanému vzdálenému útočníkovi s nízkými oprávněními je v důsledku použití již uvolněné paměti v komponentě Windows VMSwitch umožněno eskalovat svá oprávnění [5].
Zranitelnost se nachází v produktech:
- Windows 10 Version 1607; >=10.0.14393.0, <10.0.14393.9339
- Windows 10 Version 1809; >=10.0.17763.0, <10.0.17763.9020
- Windows 10 Version 21H2; >=10.0.19044.0, <10.0.19044.7548
- Windows 10 Version 22H2; >=10.0.19045.0, <10.0.19045.7548
- Windows 11 Version 24H2; >=10.0.26100.0, <10.0.26100.8875
- Windows 11 Version 25H2; >=10.0.26200.0, <10.0.26100.8875
- Windows 11 Version 26H1; >=10.0.28000.0, <10.0.28000.2525
- Windows Server 2012; >=6.2.9200.0, <6.2.9200.26226
- Windows Server 2012 (Server Core); >=6.2.9200.0, <6.2.9200.26226
- Windows Server 2012 R2; >=6.3.9600.0, <6.3.9600.23291
- Windows Server 2012 R2 (Server Core); >=6.3.9600.0, <6.3.9600.23291
- Windows Server 2016; >=10.0.14393.0, <10.0.14393.9339
- Windows Server 2016 (Server Core); >=10.0.14393.0, <10.0.14393.9339
- Windows Server 2019; >=10.0.17763.0, <10.0.17763.9020
- Windows Server 2019 (Server Core); >=10.0.17763.0, <10.0.17763.9020
- Windows Server 2022; >=10.0.20348.0, <10.0.20348.5386
- Windows Server 2025; >=10.0.26100.0, <10.0.26100.33158
- Windows Server 2025 (Server Core); >=10.0.26100.0, <10.0.26100.33158
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H/E:U/RL:O/RC:C
Více informací:
- CVE-2026-57092 na cve.org, NVD
- CWE-416: Use After Free na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 7. 2026.
Neautentizovanému vzdálenému útočníkovi je v důsledku slabé autentizace v produktu Microsoft SharePoint Server umožněno obejít bezpečnostní mechanismus [6].
Zranitelnost se nachází v produktech:
- Microsoft SharePoint Enterprise Server 2016; >=16.0.0, <16.0.5561.1001
- Microsoft SharePoint Server 2019; >=16.0.0, <16.0.10417.20175
- Microsoft SharePoint Server Subscription Edition; >=16.0.0, <16.0.19725.20434
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N/E:U/RL:O/RC:C
Více informací:
- CVE-2026-55040 na cve.org, NVD
- CWE-1390: Weak Authentication na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 7. 2026.
Neautentizovanému vzdálenému útočníkovi je v důsledku nedostatečného ošetření vstupu při generování webové stránky v produktu Microsoft Exchange Server umožněno po interakci uživatele provést útok typu spoofing [7].
Zranitelnost se nachází v produktech:
- Microsoft Exchange Server 2016 CU23; >=15.01.0.0, <15.01.2507.071
- Microsoft Exchange Server 2019 CU14; >=15.02.0.0, <15.02.1544.043
- Microsoft Exchange Server 2019 CU15; >=15.02.0.0, <15.02.1748.048
- Microsoft Exchange Server Subscription Edition RTM; >=15.02.0.0, <15.02.2562.045
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H/E:U/RL:O/RC:C
Více informací:
- CVE-2026-55008 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 14. 7. 2026.
Odkazy
- [1] https://msrc.microsoft.com/update-guide/releaseNote/2026-Jul
- [2] https://thehackernews.com/2026/07/microsoft-patches-record-622-flaws.html
- [3] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-56164
- [4] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-56155
- [5] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-57092
- [6] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-55040
- [7] https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-55008
Za CESNET, z.s.p.o. Henrieta Paločková dne 15. 7. 2026.