Microsofts Patch Tuesday im Juli 2026 hat 622 Schwachstellen behoben, ein Rekordwert. Eine davon ist eine kritische Remote-Code-Execution-Lücke in einem VPN-Protokoll, das fest in Windows Server verbaut ist. Wer Always On VPN oder einen anderen SSTP-basierten Fernzugriff administriert, sollte jetzt weiterlesen. Wer eine kommerzielle VPN-App wie NordVPN oder ProtonVPN nutzt, kann entspannen. Der Unterschied lohnt eine Erklärung.

Was tatsächlich gepatcht wurde

Am 14. Juli hat Microsoft Fixes für 622 Schwachstellen veröffentlicht, darunter zwei bereits aktiv ausgenutzte Zero-Days und eine dritte, die schon öffentlich bekannt war, bevor ein Patch existierte. Unter den 62 als kritisch eingestuften Lücken befindet sich CVE-2026-50694, eine Remote-Code-Execution-Schwachstelle im Secure Socket Tunneling Protocol (SSTP), bewertet mit CVSS 8.1.

SSTP ist ein VPN-Tunneling-Protokoll, das Microsoft vor Jahren in Windows integriert hat. Es verpackt PPP-Traffic in HTTPS, wodurch der Datenverkehr für Firewalls und Proxys wie normaler Webtraffic aussieht. Genau das ist der Zweck: SSTP wurde entwickelt, um restriktive Netzwerkgeräte zu umgehen, die andere VPN-Protokolle einfach blockieren. Es ist außerdem das Protokoll hinter Always On VPN, Microsofts Lösung für Unternehmens-Fernzugriff, konkret für die User-Tunnel-Verbindungen, über die Mitarbeiter von überall auf das Firmennetzwerk zugreifen.

CVE-2026-50694 ist ein Use-after-free-Fehler (klassifiziert als CWE-416). Praktisch bedeutet das: Ein nicht authentifizierter Angreifer kann ein präpariertes SSTP-Paket an einen verwundbaren Server senden und Code ausführen, ohne Anmeldung, ohne dass eine Nutzeraktion nötig ist. Richard Hicks, der Always On VPN seit Jahren begleitet, hat das Update in seiner Juli-Übersicht als Priorität markiert. Ein Punkt bremst etwas: Microsoft stuft die Angriffskomplexität als hoch ein, ein Angreifer muss vorbereitende Schritte durchführen, bevor der Exploit funktioniert. Das verschafft etwas Zeit, macht das Patchen aber nicht optional.

Warum eine nicht authentifizierte RCE auf einem internetseitigen VPN-Dienst gefährlich ist

Was diese Lücke besonders unangenehm macht, ist die Exposition. SSTP-Server sind konzipiert, um direkt im Internet zu stehen und eingehende Verbindungen von Mitarbeitern im Homeoffice oder unterwegs anzunehmen. Das ist keine Fehlkonfiguration, das ist das Prinzip. Und das bedeutet auch: Jede verwundbare SSTP-Rolle auf Windows Server ist per Definition für jeden erreichbar, der das Internet danach absucht. Eine nicht authentifizierte RCE auf einer bewusst internetseitigen Infrastruktur gehört zu den dringendsten Fällen, die ein Patch Tuesday liefern kann.

Zum Vergleich: Eine typische Desktop-Schwachstelle braucht meistens einen Nutzer, der eine schädliche Datei öffnet oder auf einen falschen Link klickt. Das ist schon schlimm genug, setzt aber voraus, dass jemand innerhalb der Organisation einen Fehler macht. Ein verwundbarer SSTP-Server braucht das nicht. Ein Angreifer, der ihn findet, kann direkt zuschlagen, zu jeder Tageszeit, ganz ohne Phishing-Mail. Genau das sollten IT-Teams verinnerlichen: Das ist kein Risiko der Art “jemand muss erst auf etwas hereinfallen”, sondern eines der Art “die Tür steht bereits offen, wenn noch nicht gepatcht wurde”.

Diese Lücke steht nicht isoliert da. Edge-Geräte und Fernzugriffs-Infrastruktur, VPN-Gateways, Firewalls und die dahinterliegenden Server, gehören seit Jahren zu den am häufigsten ausgenutzten Kategorien bei Sicherheitsvorfällen. Angreifer haben gelernt: Eine einzige Lücke in einer Box, die dafür gebaut wurde, Internetverbindungen anzunehmen, bringt mehr als wochenlanges Phishing gegen Mitarbeiter. Sicherheitsforscher weisen immer wieder auf dieses Muster hin: veraltete Protokolle und Edge-Appliances, die nie an das aktuelle Bedrohungsmodell angepasst wurden.

Alle VPNs im direkten Vergleich? Unser vollständiger VPN-Vergleich zeigt Bewertungen nach 18 Kriterien.

Der Patch Tuesday im Juli 2026 in Zahlen

Die SSTP-Lücke ist nur eine Zeile in einem sehr umfangreichen Release. Microsofts Juli-Update deckt insgesamt 622 Schwachstellen ab, der größte Patch Tuesday überhaupt, mit 62 als kritisch eingestuften Lücken. Zwei davon waren bereits aktiv ausgenutzt worden, als der Patch erschien, eine dritte war schon vorher öffentlich bekannt. The Hacker News und CyberSecurityNews haben beide den schieren Umfang als Hauptthema herausgestellt, wobei die SSTP-RCE explizit erwähnt wurde, wegen der Art, wie das Protokoll eingesetzt wird.

Große Patch Tuesdays sind mittlerweile Routine, aber der Umfang dieses Updates zeigt: “Patchen, wenn es passt” ist keine echte Strategie für alles, was im Internet erreichbar ist. Angreifer lesen die Release Notes am selben Tag wie die Verteidiger.

Wer handeln muss und wer nicht

Wer Always On VPN administriert, oder generell ein Windows-Server-Deployment mit aktivierter SSTP-Rolle für Fernzugriff betreibt: jetzt patchen. Das ist direkt Ihr Problem. Prüfen Sie, welche Server die VPN-Rolle aktiv haben, bestätigen Sie, dass das Juli-Update installiert ist, und wenn ein sofortiges Patchen nicht möglich ist, schauen Sie, ob sich die SSTP-Exposition auf Netzwerkebene übergangsweise einschränken lässt. Richard Hicks’ Beitrag und Microsofts eigener Advisory nennen die konkreten KB-Nummern je nach Windows-Server-Version.

Wer nach einem VPN-Abo für den privaten Gebrauch sucht oder bereits eines nutzt: diese Lücke betrifft Sie nicht. NordVPN, ProtonVPN, Mullvad und die anderen auf dieser Seite besprochenen Consumer-Dienste betreiben ihre eigene Server-Infrastruktur, aufgebaut auf Protokollen wie WireGuard, OpenVPN oder Lightway, nicht auf einer Windows-Server-SSTP-Rolle. CVE-2026-50694 ist ein Fehler in einer bestimmten Komponente von Microsofts Server-Software, kein Fehler im Konzept VPN und schon gar nicht in einer Consumer-App. Bei jeder Schlagzeile über eine “VPN-Lücke” ist die Frage berechtigt, ob das eigene Abo betroffen ist, und die ehrliche Antwort hier lautet: erst prüfen, um welche Infrastruktur es tatsächlich geht, bevor man sich Sorgen macht.

Das Muster sollte man sich trotzdem merken. Es ist dieselbe Lektion wie bei anderen VPN-Sicherheitsmeldungen dieses Jahr: Das Wort “VPN” steht für völlig unterschiedliche Produkte, von einer Windows-Server-Rolle in Unternehmensnetzwerken bis zu einer Consumer-App auf dem Smartphone, und eine kritische Lücke im einen sagt nichts über das andere aus.

Diese Verwechslung ist nachvollziehbar. Schlagzeilen haben selten Platz für “das betrifft selbst gehostete Unternehmens-VPN-Infrastruktur, nicht die App, für die man 5 Euro im Monat zahlt”, also müssen Leserinnen und Leser das selbst einordnen. Unser Rat, wann immer eine VPN-Sicherheitslücke Schlagzeilen macht: erst prüfen, wer die betroffenen Server betreibt, bevor man sich Sorgen macht. Betreibt ein Unternehmen sein eigenes Gateway für Mitarbeitende im Homeoffice, ist das ein IT-Thema. Zahlt man für ein Abo bei einem Anbieter, lohnt sich ein Blick, ob genau dieser Anbieter eine Stellungnahme veröffentlicht hat, denn die beiden Fälle überschneiden sich selten.

Was jetzt zu tun ist

Für Administratoren: Diese Lücke gehört auf die Liste “sofort patchen”, nicht auf die für das nächste Wartungsfenster. Nicht authentifizierte RCE plus absichtliche Internet-Exposition ist genau die Kombination, die unbehandelt zu einer Sicherheitsmeldung wird. Gleichen Sie jede Windows-Server-Instanz mit Always On VPN oder anderem SSTP-basiertem Fernzugriff mit dem Juli-2026-Update ab, und verlassen Sie sich nicht darauf, dass “kommt später dran” sicher ist, angesichts dessen, wie attraktiv Edge-Infrastruktur für Angreifer geworden ist.

Für alle anderen: kein Handlungsbedarf. Wer ein VPN sucht, das nicht auf veralteter Windows-Infrastruktur läuft und standardmäßig ein modernes Protokoll nutzt, findet bei Anbietern wie NordVPN standardmäßig NordLynx, deren WireGuard-Implementierung, mit komplett anderer Codebasis und Angriffsfläche. Wer Datenschutz und eine saubere Audit-Historie wichtiger findet als reine Geschwindigkeit, sollte sich ProtonVPN ansehen. Unser Leitfaden zu VPN-Protokollen und unser Vergleich WireGuard vs. OpenVPN gehen genauer darauf ein, warum das genutzte Protokoll wichtiger ist, als die meisten denken.

Unser Fazit

CVE-2026-50694 ist eine ernste Lücke für die kleine Gruppe von Administratoren, die SSTP-basierte VPN-Infrastruktur betreiben, und ein Nicht-Ereignis für alle, die eine kommerzielle VPN-App nutzen. Die eigentliche Geschichte ist der rekordgroße Patch Tuesday mit 622 Schwachstellen, in den diese Lücke eingebettet ist, und der anhaltende Trend, dass Edge- und Fernzugriffs-Infrastruktur zum bevorzugten Weg in Unternehmensnetzwerke wird. Wer Always On VPN administriert, sollte heute patchen. Wer ein Consumer-VPN wählt, für den ändert sich durch diese Lücke nichts, aber sie ist eine gute Erinnerung, einen Anbieter mit modernen statt veralteten Protokollen zu wählen.

Quellen: Richard Hicks, Always On VPN Security Updates | The Hacker News