Microsoft Patch Tuesday August 2026: 421 CVEs, 3 Zero-Days, Lazarus nutzt WinSock-Lücke CVE-2026-68820

Was passiert, wenn ein einzelner Kernel-Treiber unter Windows genügt, um aus einem gewöhnlichen Benutzerkonto vollständige SYSTEM-Rechte zu machen – und Angreifer diese Lücke bereits vor dem Patch-Day ausgenutzt haben? Genau dieses Szenario liefert der Microsoft Patch Tuesday August 2026: 421 offiziell katalogisierte Schwachstellen, 42 davon als „Critical“ eingestuft, und gleich drei Zero-Day-Lücken, von denen eine aktiv im Wilden ausgebeutet wurde. Nordkoreanische Lazarus-Gruppe nutzte dabei die WinSock-Schwachstelle CVE-2026-68820, um den FudModule-Rootkit im Kernel zu verankern. Für Administratoren bedeutet das: August-Updates sind keine Routine, sondern ein Notfall-Patch, der priorisiert eingespielt werden muss.

Die Zahlen zum August-Patch-Day im Überblick

421 CVEs, 42 kritische Lücken und eine Exploit-Welle

Am 11. August 2026 veröffentlichte Microsoft seinen monatlichen Sicherheitsroll-up. Nach Angaben von BleepingComputer umfasst das Release 421 CVEs – weniger als der Rekordmonat Juli 2026 mit 570 Lücken, aber weiterhin deutlich über dem historischen Durchschnitt. 42 der Schwachstellen tragen das Label „Critical“, wovon 37 Remote Code Execution (RCE) und 5 Elevation of Privilege (EoP) darstellen. Hinzu kommen zahlreiche „Important“-Einträge in .NET, .NET Framework, Azure-Diensten, Exchange, Dynamics und Windows-Komponenten. Die hohe Anzahl ist kein Zufall: Microsoft setzt verstärkt auf ein KI-gestütztes Vulnerability-Discovery-System, das mehr Fehler pro Monat identifiziert.

Kategorie	Anzahl	Hinweis
Gesamte CVEs (Microsoft Patch Tuesday)	421	Ohne vorab geschlossene Mariner/Teams/Azure/Office-Updates
„Critical“-Schwachstellen	42	Davon 37 RCE, 5 EoP
Aktiv ausgenutzte Zero-Days	1	CVE-2026-68820 (Lazarus/FudModule)
Öffentlich vorab bekannte Zero-Days	2	CVE-2026-62832, CVE-2026-72971
Betroffene Produktfamilien	Windows, Office, Exchange, SharePoint, Azure, .NET	Client- und Server-Builds

Zero-Days: eine aktiv, zwei öffentlich bekannt

Microsoft klassifiziert eine Schwachstelle als Zero-Day, wenn sie aktiv ausgenutzt oder öffentlich bekannt ist, bevor ein offizieller Patch verfügbar ist. Im August 2026 fallen drei Lücken in diese Kategorie. Nur CVE-2026-68820 wurde laut Microsoft und Check Point bereits in Angriffen eingesetzt. Die beiden anderen – CVE-2026-62832 in der Windows User Profile Service und CVE-2026-72971 im Container Isolation FS Filter Driver – waren vorab öffentlich bekannt, aber nicht als aktiv ausgenutzt gemeldet. Dennoch erhöht öffentliche Bekanntheit das Risiko schneller Nachnutzung durch weniger gut ausgestattete Akteure.

CVE-2026-68820: Der WinSock-Treiber als Einfallstor für SYSTEM-Rechte

Use-after-free im Ancillary Function Driver for WinSock (afd.sys)

CVE-2026-68820 beschreibt eine Use-after-free-Schwachstelle im Windows-Ancillary-Function-Driver für WinSock, kurz afd.sys. Dieser Kernel-Modul ist die Basis der Windows-Sockets-API; jede Anwendung, die Netzwerkverbindungen nutzt, greift indirekt darauf zu. Microsoft beschreibt die Lücke so: „Use after free in Windows Ancillary Function Driver for WinSock allows an authorized attacker to elevate privileges locally.“ Ein lokaler, authentifizierter Angreifer kann über eine speziell präparierte Anwendung eine Race Condition auslösen und so SYSTEM-Privilegien erlangen – ohne jegliche Benutzerinteraktion.

Lazarus installiert FudModule-Rootkit über den Kernel

Check Point Research berichtet, dass die nordkoreanische Lazarus-Gruppe die Lücke in Zero-Day-Angriffen nutzte. Während der Infiltration wurde CVE-2026-68820 ausgenutzt, um eine neue Version des FudModule-Kernel-Rootkits zu installieren. FudModule ist bei Lazarus seit Jahren bekannt und dient dazu, Sicherheitsprodukte und Forensik-Tools im Kernel-Modus zu unterlaufen. Die Angriffskette startete nach Check-Point-Berichten mit einer gefälschten Job-Offerte – ein klassisches Lazarus-Social-Engineering-Muster –, das dann die lokalen Rechte ausweitete und den Rootkit persistierte. Die Erkennung ist deshalb besonders schwierig, weil die Malware auf Kernel-Ebene operiert.

Die beiden anderen Zero-Days im Detail

CVE-2026-62832: Windows User Profile Service „LegacyHive“

CVE-2026-62832 ist ein Link-Following-Problem im Windows User Profile Service, das es einem lokal authentifizierten Angreifer erlaubt, die Registry-Hive eines anderen Benutzers zu laden und zu manipulieren. Microsoft erklärt: „An authenticated attacker who has credentials for another local account could run a specially crafted application to load another user’s registry hive. Successful exploitation could allow the attacker to access or modify another user’s data and gain administrator privileges.“ Der Fehler entspricht der im Juli 2026 öffentlich als „LegacyHive“ bekannt gewordenen Zero-Day-Schwachstelle, die vom Sicherheitsforscher Nightmare Eclipse offengelegt wurde. Nicht-administrative Benutzer können damit Befehle mit administrativen Rechten starten, wenn sich ein Admin-Account am kompromittierten Gerät anmeldet.

CVE-2026-72971: Tampering im Container-Isolation-Filtertreiber

Die dritte Zero-Day-Lücke, CVE-2026-72971, betrifft den Windows Container Isolation FS Filter Driver (unionfs.sys) und ist als Tampering-Vulnerability eingestuft. Ähnlich wie bei CVE-2026-62832 nutzt der Fehler unsachgemäße Link-Auflösung vor dem Dateizugriff aus. Angreifer mit lokalen Rechten können dadurch Dateien manipulieren, die eigentlich durch die Container-Isolierung geschützt sein sollten. Microsoft führt die Entdecker als „yhw & txz“ an. Da Container-Workloads in CI/CD- und Cloud-Szenarien weit verbreitet sind, ist diese Lücke für DevOps-Teams relevant.

CVSS-Bewertungen der drei Zero-Days

CVE-2026-68820, CVE-2026-62832 und CVE-2026-72971 im NVD-Vergleich

Die National Vulnerability Database (NVD) listet die drei Zero-Days mit unterschiedlichen Schweregraden. CVE-2026-68820 wird mit einem CVSS-Base-Score von 7.0 von 10 geführt, was Microsoft als „Important“ einstuft. Trotz des vergleichsweise moderaten CVSS-Wertes ist die praktische Gefahr hoch, weil lokale SYSTEM-Eskalationen oft der letzte Schritt vor vollständiger Kompromittierung sind. CVE-2026-62832 erreicht nach SecurityOnline.info einen CVSS-Base-Score von 7.8 von 10 (High) und nutzt die Schwachstellenklasse CWE-59 (Link Following). CVE-2026-72971 fällt mit einem CVSS-Score von 5.5 von 10 (Medium) etwas geringer aus, bleibt aber relevant, weil Container-Isolationen gerade in Multi-Tenant-Umgebungen als Vertrauensgrenze gelten.

CVE	CVSS (laut NVD/Sekundärquelle)	Typ	Status
CVE-2026-68820	7.0 von 10	Use-after-free / EoP	Aktiv ausgenutzt
CVE-2026-62832	7.8 von 10	Link Following / EoP	Öffentlich bekannt
CVE-2026-72971	5.5 von 10	Tampering / EoP	Öffentlich bekannt

Warum niedrige CVSS-Werte trotzdem kritisch sein können

CVSS misst technische Schwere, nicht das Bedrohungsrisiko. Eine lokale EoP-Lücke mit CVSS 7.0 wird in Kombination mit einem anfänglichen Phishing-Zugriff zum vollständigen Domain-Compromise. Bei Lazarus beginnt der Angriff typischerweise mit einer Job-Offerte oder einem infizierten Dokument. Sobald ein einfacher Domain-Benutzer ausgeführt hat, nutzt der Angreifer CVE-2026-68820, um auf SYSTEM zu eskalieren, Sicherheitsprodukte auszuhebeln und lateral zu wandern. Deshalb raten auch Sicherheitsanbieter wie SecurityWeek dazu, den Patch als Emergency-Fix zu behandeln, unabhängig vom absoluten CVSS-Wert.

KI-gestützte Schwachstellenforschung treibt die Anzahl in die Höhe

Microsofts AI-Vulnerability-Discovery erklärt

Die steigende Patch-Dichte ist kein statistischer Ausreißer, sondern ein systematischer Trend. Microsoft hat angekündigt, ein KI-gestütztes Vulnerability-Discovery-System einzusetzen, das mehr Fehler in Windows, Office, Azure und Entwicklerwerkzeugen identifiziert. BleepingComputer berichtet, dass Microsoft bereits im Juni 2026 vor einer Zunahme von Patch-Tuesday-Updates warnte, weil die KI-gestützte Analyse neue Code-Pfade und Race Conditions aufdeckt, die bisherige manuelle Audits übersehen haben. Für die Praxis bedeutet das: Sicherheitsteams müssen ihre Patch-Prozesse automatisieren, weil die manuelle Bewertung von 400+ CVEs pro Monat nicht mehr skaliert.

Was das für Patch-Management-Teams bedeutet

Größere monatliche Volumen erfordern automatisierte Priorisierungstools, die CVEs nach EPSS (Exploit Prediction Scoring System), CISA KEV-Status, geschäftskritischer Verfügbarkeit und Asset-Exposure gewichten. Teams, die noch mit Tabellenkalkulationen arbeiten, verlieren schnell den Überblick. Empfohlen wird der Einsatz von Patch-Management-Plattformen mit API-Anbindung an Microsoft Security Update Guide, CISA KEV Feed und interne CMDB-Daten. Nur so lässt sich innerhalb von 24–72 Stunden entscheiden, welche Systeme zuerst aktualisiert werden müssen.

Weitere Schwerpunkte des Patch-Rollups

Exchange, SharePoint und Azure mit kritischen RCE-Lücken

Neben den Zero-Days verteilt das August-Update kritische Lücken über den gesamten Microsoft-Stack. Der Exchange Server erhält sieben Sicherheitsupdates, darunter eine als „Important“ eingestufte, aber dennoch brisante Rechteausweitung. Unternehmen, die weiterhin lokale Exchange-Server betreiben, sollten die Kumulativen Updates zeitnah testen. Auch SharePoint und Azure-Dienste wie Azure Confidential Ledger, Azure Service Bus, Azure SQL Database, Azure Kubernetes Service und Azure Monitor Agent erhalten „Critical“-Patches. Besonders CVE-2026-68823 in Azure Confidential Ledger und CVE-2026-50516 im Azure Kubernetes Service zeigen, dass Cloud-Workloads nicht automatisch vor RCE-Bedrohungen geschützt sind. Vergleichbare SharePoint-Schwachstellen wie CVE-2026-20963 hatten wir erst vor wenigen Tagen behandelt.

Container- und CI/CD-Risiken im Kontext aktueller Angriffe

Container-Isolationsschwächen und CI/CD-Schwachstellen sind in jüngster Zeit wiederholt Angriffsziele. Die CISA-KEV-Einträge für Langflow und Apache Tomcat sowie die TeamCity-RCE CVE-2026-63077 zeigen, wie schnell sich Angriffe in Build- und Deployment-Umgebungen ausbreiten. Wer Container unter Windows nutzt, sollte CVE-2026-72971 daher nicht unterschätzen: Auch niedrig privilegierte Container-Escapes können zu Host-Kompromittierung führen.

Windows-Betriebssysteme: Kernel, DNS, DWM und DHA

Im Client- und Server-Bereich fallen besonders viele Elevation-of-Privilege- und RCE-Lücken auf. Der Desktop Window Manager (DWM), der Windows-DNS-Server, Microsoft QUIC, Deployment Services und der Local Security Authority Server (lsasrv) enthalten jeweils mehrere Schwachstellen. Auch der Windows Device Health Attestation (DHA)-Dienst wurde mit zwei kritischen RCE-Einträgen (CVE-2026-71331 und CVE-2026-66802) gepatcht. Diese breite Streuung erfordert eine priorisierte Patch-Strategie: Kernel- und Netzwerk-Dienste zuerst, dann Anwendungen und Azure-Workloads. Auch Kernel-basierte Linux-Schwachstellen wie CVE-2026-64600 zeigen, dass Betriebssystem-Kernel auf beiden Seiten im Fokus der Angreifer stehen.

Branchen- und Unternehmensrelevanz

Warum auch kleinere Organisationen handeln müssen

Lazarus und vergleichbare staatliche Akteure zielen nicht nur auf Regierungen und Rüstungskonzerne. Auch Mittelständler, IT-Dienstleister, Medienunternehmen und Krypto-Börsen gehören zum Zielspektrum, weil sie oft über weniger ausgereifte Endpoint-Sicherheit verfügen. Ein einzelner kompromittierter Laptop mit lokalen Admin-Rechten kann über CVE-2026-68820 zum vollständigen Netzwerkzugriff führen. Deshalb gilt: Jede Windows-Flotte, die nicht innerhalb der nächsten 72 Stunden gepatcht ist, trägt ein erhöhtes Kompromittierungsrisiko.

Compliance- und Versicherungsaspekte

Regulatorische Anforderungen wie DORA, NIS2 und ISO 27001 fordern zeitnahes Patch-Management für kritische Schwachstellen. Cyberversicherer prüfen zunehmend, ob ein Unternehmen aktiv ausgenutzte Zero-Days innerhalb der vom Hersteller empfohlenen Frist geschlossen hat. Bei Microsoft-Patches mit aktiver Exploitation sind Fristen von 24 bis 72 Stunden für geschäftskritische Assets üblich. Wer CVE-2026-68820 nicht patcht, riskiert bei einem Vorfall sowohl regulatorische Konsequenzen als auch Probleme bei der Versicherungsdeckung.

Patch-Strategie und Priorisierung

1. Zero-Day zuerst, kritische RCE als zweite Welle

Die dringlichste Maßnahme ist das Einspielen der Updates für CVE-2026-68820 auf allen Windows-Clients und -Servern. Da Lazarus bereits aktiv ausnutzt, darf diese Lücke nicht zurückgestellt werden. Anschließend sollten die beiden öffentlich bekannten Zero-Days (CVE-2026-62832 und CVE-2026-72971) sowie alle „Critical“-RCE-Einträge in Exchange, SharePoint, Azure- und Windows-Komponenten folgen. Microsoft empfiehlt, die offizielle Microsoft Security Update Guide zu nutzen, um produktspezifische KB-Nummern zu ermitteln. Die vollständige CVE-Liste des Patch Tuesday August 2026 liefert BleepingComputer als interaktive Tabelle.

2. Testringe, Reboot-Planung und Rollback-Vorbereitung

Die hohe Patch-Dichte erhöht das Risiko von Anwendungsinkompatibilitäten. Unternehmen sollten Updates zunächst in einer repräsentativen Testgruppe ausrollen, bevor sie die Flotte erreichen. Da Kernel-Updates in der Regel einen Neustart erfordern, ist eine koordinierte Wartungsfenster-Planung notwendig. Rollback-Optionen – sei es durch Snapshots, Wiederherstellungspunkte oder schichtweises Deployment – müssen vorab verfügbar sein. In sensiblen Umgebungen kann eine zunächst eingeschränkte Ausrollgruppe („Pilot-Ring“) kritische Rückmeldungen liefern, bevor der breite Rollout beginnt.

3. Komplementäre Abwehrmaßnahmen

Weil CVE-2026-68820 einen lokalen Angreifer mit gültigen Credentials voraussetzt, verringert eine strenge Endpoint-Hygiene das Angriffsrisiko. Zum Einsatz kommen sollten: Application-Whitelisting, Credential Guard, Attack Surface Reduction (ASR) im Microsoft Defender, regelmäßige Firmware- und Treiber-Updates sowie die Beschränkung lokaler Admin-Rechte. EDR-Lösungen sollten Kernel-Modus-Aktivitäten und ungewöhnliche Treiber-Lade-Ereignisse überwachen. Da die Angriffskette bei Lazarus mit Phishing beginnt, bleibt auch Schulung der Anwender und strenge Mail-Filter zentrale Verteidigungslinien. Der Check-Point-Bericht „Shattering the Dream: When a Job Offer Becomes a Zero-Day Attack“ beschreibt die konkrete Lazarus-Kampagne und liefert IOCs für EDR-Teams.

Fazit und Handlungsempfehlung

Der Microsoft Patch Tuesday August 2026 ist mit 421 CVEs und drei Zero-Day-Lücken eines der größten monatlichen Updates der jüngeren Geschichte. Die aktiv ausgenutzte CVE-2026-68820 im WinSock-Kernel-Treiber ist der klare Kandidat für eine sofortige, priorisierte Bereitstellung. Lazarus nutzt sie, um Rootkits auf Systemebene zu installieren, was das Risiko für Unternehmen in allen Branchen massiv erhöht. Neben den Zero-Days verdienen kritische RCE-Lücken in Exchange, Azure und Windows-Komponenten schnelle Aufmerksamkeit. Administratoren sollten heute die Testumgebungen starten, morgen die ersten Produktivsysteme patchen und innerhalb von 72 Stunden den Großteil der Flotte abgedeckt haben. Wer das Update als „nur ein weiterer Patch Tuesday“ behandelt, unterschätzt die Bedrohungslage nachweislich.

Weitere aktuelle Analysen finden sich in unseren Artikeln zur N-able N-central CVE-2026-18577 und zur wp2shell-WordPress-Core-RCE-Kette – beide zeigen, wie unvollständige oder übergangene Patches zu aktiven Exploitation führen.