Microsoft hat am 11. August 2026 rund 400 Sicherheitslücken geschlossen, 42 davon kritisch. Die Lücke CVE-2026-68820 im Windows-Treiber Ancillary Function Driver for WinSock wird aktiv ausgenutzt, laut Berichten von der nordkoreanischen Gruppe Lazarus. Zwei weitere Zero-Days waren öffentlich bekannt, darunter LegacyHive (CVE-2026-62832). Admins sollten die Updates zügig verteilen, zuerst auf Clients mit Benutzeranmeldungen.
Microsoft hat am Patchday im August 2026 rund 400 Lücken geschlossen. Eine davon nutzt die nordkoreanische Lazarus-Gruppe schon aus, deshalb gehören die Updates schnell auf die Clients.
Das Wichtigste in Kürze
- Rund 400 Lücken sind geschlossen, 42 davon kritisch. BleepingComputer zählt 400, The Register zählt 421, je nach Zählweise.
- Eine Lücke wird bereits ausgenutzt. Es ist CVE-2026-68820 im Treiber Ancillary Function Driver for WinSock.
- Zwei weitere Zero-Days waren öffentlich bekannt. Das sind CVE-2026-62832 ("LegacyHive") und CVE-2026-72971.
- Die Updates gehören zuerst auf Clients mit Benutzeranmeldungen. Alle drei Zero-Days betreffen lokale Rechte oder Manipulationen.
Die ausgenutzte Lücke im WinSock-Treiber
BleepingComputer und The Register berichteten am 11. August 2026 erstmals über den Patchday, spätere Aktualisierungen liegen nicht vor. Bei CVE-2026-68820 geht es um einen Speicherfehler im Windows-Treiber Ancillary Function Driver for WinSock. Ein lokaler Angreifer erhält damit SYSTEM-Rechte.
Dabei nutzt die nordkoreanische Gruppe Lazarus die Lücke laut Berichten als Zero-Day. Sie bringt eine neue Fassung ihres Kernel-Rootkits FudModule aufs System. Die Angriffe begannen nach The Register im Juni. Check Point ordnet sie der Kampagne "Operation Dream Job" zu. Die Angreifer locken mit falschen Stellenanzeigen. Ein manipuliertes PDF-Programm liefert die Schadsoftware aus.
Zwei weitere Zero-Days und die Zahlen
| Kennung | Betroffene Komponente | Status | Bemerkung |
|---|---|---|---|
| CVE-2026-68820 | WinSock-Treiber (AFD) | Aktiv ausgenutzt | Rechteausweitung auf SYSTEM |
| CVE-2026-62832 | Windows User Profile Service | Öffentlich bekannt | Rechteausweitung, "LegacyHive" |
| CVE-2026-72971 | Container Isolation FS Filter Driver | Öffentlich bekannt | Manipulation (Tampering) |
Zudem teilt BleepingComputer die Lücken nach Art ein: 176 Rechteausweitungen, 110 Codeausführungen aus der Ferne, 86 Informationslecks, 21 Spoofing-Fälle, 12 Dienstausfälle und 11 Umgehungen von Schutzfunktionen. Von den 42 kritischen Lücken erlauben 37 fremden Code aus der Ferne. Fünf erhöhen Rechte.
Damit erklärt Microsoft die grosse Menge: Ein KI-System findet mehr Fehler. Dazu nennt The Register zwei weitere Lücken. Eine ist kritisch und steckt im TFTP-Teil der Windows Deployment Services (CVE-2026-62893). Die andere erhöht Rechte in Exchange (CVE-2026-62911) und wurde auf dem Wettbewerb Pwn2Own Berlin gezeigt.
Was Admins jetzt tun
- Verteile die Updates zuerst auf Clients und Terminalserver, auf denen sich Benutzer anmelden.
- Prüfe, ob alle Systeme die August-Updates erhalten haben. Eine Statusübersicht im Update-Werkzeug reicht dafür.
- Patche danach Server mit der Windows Deployment Services Rolle und Exchange-Server.
- Beobachte Endgeräte auf auffällige Treiber und PDF-Programme, falls deine Firma im Visier der Kampagne liegt.
Zu einer weiteren ausgenutzten Lücke siehe den Beitrag zu N-able N-central.
Fazit
Deshalb ist die Reihenfolge klar: erst die Clients wegen des WinSock-Zero-Days, dann Deployment Services und Exchange. Wer Updates automatisch verteilt, prüft nur den Stand. Wer von Hand arbeitet, beginnt noch heute.
Quellen: BleepingComputer zum Patchday August 2026, The Register zum Patchday August 2026. Foto: ElasticComputeFarm / Pixabay. Stand: 11. August 2026.
Recherche und Entwurf KI-gestützt, geprüft und freigegeben von Andreas Brauckmann · So arbeitet die Redaktion
Änderungshistorie
- — Artikel veröffentlicht.