Patch-Dienstag im August 2026: Microsoft behebt über 420 Sicherheitslücken

Microsofts "Patch Tuesday" im August 2026 ist eines der größten Sicherheitsupdates des Jahres. Laut Microsofts Security Update Guide und mehreren Sicherheitsanbietern, die das Update verfolgen, werden insgesamt 421 CVEs geschlossen, darunter mehr als 40 als kritisch eingestufte Schwachstellen. Im Mittelpunkt stehen eine aktiv ausgenutzte Sicherheitslücke in einem Kernel-Treiber, eine öffentlich bekannte Schwachstelle zur Rechteausweitung, die mit einem Forscher in Verbindung steht, der seit Längerem mit Microsoft im Streit liegt, sowie eine von Rapid7 gemeldete Angriffskette zur Remote-Code-Ausführung in SharePoint.

Lazarus Group nutzt Zero-Day-Lücke in Kernel-Treiber aus

Die dringendste Fehlerbehebung betrifft CVE-2026-68820, eine Use-after-free-Schwachstelle im Windows Ancillary Function Driver for WinSock (afd.sys), dem Kernel-Modus-Treiber, auf dem die Windows Sockets API basiert. Laut Microsoft kann ein lokal authentifizierter Angreifer über eine speziell präparierte Anwendung eine Race Condition auslösen und dadurch ohne Interaktion des Nutzers SYSTEM-Rechte erlangen. Check Point Research berichtet, dass die nordkoreanische Lazarus Group die Schwachstelle im Rahmen ihrer Kampagne „Operation Dream Job“ ausgenutzt hat. Dabei kamen gefälschte Kontaktaufnahmen vermeintlicher Recruiter sowie ein mit einem Trojaner versehener PDF-Viewer zum Einsatz, um Troy als neue Backdoor einzuschleusen. Anschließend wurden die Rechte ausgeweitet und eine aktualisierte Version des Kernel-Modus-Rootkits FudModule installiert. Die Aktivitäten konzentrierten sich auf Unternehmen und Organisationen aus den Bereichen Verteidigung, Luft- und Raumfahrt sowie Luftverkehr in Europa, Indien und Brasilien. CISA hat CVE-2026-68820 in seinen Known Exploited Vulnerabilities Catalog aufgenommen und eine Frist zur Behebung bis zum 25. August gesetzt.

Öffentlicher Streit um LegacyHive

Microsoft hat außerdem CVE-2026-62832 behoben, eine Schwachstelle zur Rechteausweitung im Windows User Profile Service. Die Sicherheitslücke ermöglicht es einem authentifizierten Angreifer, der über die Zugangsdaten eines anderen lokalen Kontos verfügt, den Dienst dazu zu bringen, die Registry-Hive dieses Kontos zu laden – potenziell die eines Administrators. Dadurch könnte der Angreifer unbefugten Zugriff auf diese Daten und Administratorrechte erhalten. Microsoft schreibt die Entdeckung einem anonymen Sicherheitsforscher zu. Die technischen Details stimmen allerdings mit LegacyHive überein, einem Proof of Concept, welches der unter dem Pseudonym Nightmare Eclipse bekannte Forscher nur wenige Stunden nach dem Patch Tuesday im Juli veröffentlicht hatte. Da bereits funktionsfähiger Exploit-Code öffentlich verfügbar war, stufte Microsoft die Wahrscheinlichkeit einer breiteren Ausnutzung der Schwachstelle als erhöht ein.

Rapid7 vervollständigt SharePoint-RCE-Angriffskette

Abgerundet wird das Update durch CVE-2026-63520, eine Schwachstelle im SharePoint Server, die eine Remote-Code-Ausführung ermöglicht und auf der unsicheren Instanziierung von .NET-Typen innerhalb der Business Connectivity Services basiert. Rapid7 veröffentlichte die Schwachstelle gemeinsam mit Microsoft als zweite Hälfte einer für Pwn2Own Berlin entwickelten Angriffskette. In Kombination mit CVE-2026-55040, einer von Rapid7 im Juli offengelegten Schwachstelle zur Umgehung der JWT-Authentifizierung, ermöglichen die beiden Sicherheitslücken einem nicht authentifizierten Angreifer, ohne Zugangsdaten Code auf einem anfälligen SharePoint-Server mit den Rechten dessen Dienstkontos auszuführen.