Microsoft behebt 398 Schwachstellen, während ausgenutzte Windows-Kernel-Lücke in CISA KEV aufgenommen wird

Microsoft hat Sicherheitsupdates für mindestens 398 Schwachstellen in Windows und anderer unterstützter Software veröffentlicht, darunter 42 als kritisch eingestufte Probleme. Diese Schwachstellen könnten es Angreifern ermöglichen, mit wenig oder ganz ohne Zutun der Benutzer die Kontrolle über verwundbare Systeme zu übernehmen.

Besonders dringend ist CVE-2026-68820, eine Schwachstelle zur Rechteausweitung im Windows Ancillary Function Driver for WinSock. Microsoft hat eine Ausnutzung der Lücke festgestellt. CISA hat sie zudem in den Katalog der bekannten, aktiv ausgenutzten Schwachstellen aufgenommen.

Zwei weitere bemerkenswerte Schwachstellen betreffen den Windows User Profile Service und den Windows Container Isolation File-System Filter. Beide erfordern lokalen Zugriff, bergen jedoch unterschiedliche Risiken im Zusammenhang mit Administratorrechten und nicht autorisierten Systemänderungen.

Ausgenutzte Use-after-free-Schwachstelle ermöglicht SYSTEM-Rechte

CVE-2026-68820 ist eine Use-after-free-Schwachstelle in afd.sys, dem Kernel-Treiber für zusätzliche Windows-Sockets-Funktionen. Microsoft stuft sie als wichtig ein und bewertet sie mit einem CVSS-3.1-Basiswert von 7,0.

Der Angriff erfolgt lokal und nicht aus der Ferne. Ein authentifizierter Angreifer mit niedrigen Berechtigungen muss eine speziell präparierte Anwendung ausführen und erfolgreich eine Race Condition auslösen. Weitere Benutzerinteraktion ist nicht erforderlich.

Bei erfolgreicher Ausnutzung kann der Angreifer SYSTEM-Rechte erlangen und dadurch weitreichende Kontrolle über den kompromittierten Windows-Rechner übernehmen. Damit ist die Schwachstelle besonders nützlich, nachdem bereits ein erster Zugriff auf das System erzielt wurde.

Ein Angreifer könnte sich beispielsweise zunächst über Phishing oder einen anderen Zugriffsweg begrenzten Zugriff verschaffen. Anschließend könnte er wiederholt versuchen, die Race Condition zu seinen Gunsten auszulösen und seine Berechtigungen auszuweiten. Landon Miles von Automox führte die vergleichsweise hohe Bewertung der Angriffskomplexität auf die Schwierigkeit zurück, diese Race Condition zuverlässig auszulösen.

Der offizielle Vektor lautet:

CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Die Schwachstelle ist als CWE-416, Use after free, klassifiziert. Microsoft führt sie als ausgenutzt, aber nicht öffentlich bekannt. Das deutet darauf hin, dass Angriffe erkannt wurden, ohne dass die zugrunde liegende Schwachstelle zuvor öffentlich dokumentiert war.

Moshe Marelus und David Driker von Check Point wurden für die koordinierte Offenlegung als Entdecker genannt. Microsoft veröffentlichte am 11. August 2026 die Version 1.0 des Sicherheitshinweises.

Von CVE-2026-68820 betroffene Windows-Versionen

Die Schwachstelle betrifft mehrere Generationen von Client- und Serversystemen. Systeme mit Builds unterhalb der folgenden Schwellenwerte sollten als verwundbar betrachtet werden:

Produkt	Verwundbare Builds
Windows 10 1607	Unter 10.0.14393.9418
Windows 10 1809	Unter 10.0.17763.9115
Windows 10 21H2	Unter 10.0.19044.7663
Windows 10 22H2	Unter 10.0.19045.7663
Windows 11 23H2	Unter 10.0.22631.7517
Windows 11 24H2	Unter 10.0.26100.9106
Windows 11 25H2	Unter 10.0.26200.9106
Windows 11 26H1	Unter 10.0.28000.2704
Windows Server 2016	Unter 10.0.14393.9418
Windows Server 2019	Unter 10.0.17763.9115
Windows Server 2022	Unter 10.0.20348.5440

Auch NVD führt Windows Server 2012 als betroffen auf, für dieses Produkt ist jedoch kein Build-Schwellenwert verfügbar.

Administratoren sollten die installierten Buildnummern überprüfen und sich nicht nur an den Windows-Namen und -Editionen orientieren. Ähnliche Produktbezeichnungen können unterschiedlichen Wartungsständen entsprechen.

CISA ordnet beschleunigte Behebung an

CISA nahm CVE-2026-68820 am 11. August 2026 in den KEV-Katalog auf. Die Frist zur Behebung für US-Bundesbehörden lief am 25. August 2026 ab.

Erforderlich ist die Umsetzung der vom Hersteller bereitgestellten Maßnahmen unter Einhaltung von CISA BOD 26-04, „Prioritizing Security Updates Based on Risk“, sowie der forensischen Triage-Anforderungen der Behörde. Die einschlägigen Vorgaben aus BOD 26-04 gelten auch für Cloud-Dienste. Wenn keine wirksamen Maßnahmen zur Risikominderung verfügbar sind, weist CISA die Behörden an, die Nutzung des betroffenen Produkts gegebenenfalls einzustellen.

Die Aufnahme in den KEV-Katalog unterscheidet CVE-2026-68820 von Schwachstellen, für die lediglich theoretische Angriffsszenarien bekannt sind. Eine Ausnutzung wurde beobachtet.

Damit gehört die Schwachstelle zu mehreren weiteren Microsoft-Schwachstellen, die in den vergangenen 90 Tagen in den KEV-Katalog aufgenommen wurden:

• CVE-2019-1068 am 26. August 2026
• CVE-2026-55040 und CVE-2026-33824 am 18. August 2026
• CVE-2026-50522 am 22. Juli 2026
• CVE-2026-58644 am 16. Juli 2026
• CVE-2026-45659 am 1. Juli 2026

CVE-2026-45659 steht im Zusammenhang mit Ransomware-Aktivitäten.

Öffentlich bekannte Schwachstelle im User Profile Service gilt als eher ausnutzbar

CVE-2026-62832 betrifft den Windows User Profile Service und hat einen CVSS-Wert von 7,8. Ursache ist eine fehlerhafte Auflösung von Verknüpfungen vor dem Dateizugriff; die Schwachstelle ist als CWE-59 klassifiziert.

Ein authentifizierter Angreifer benötigt Anmeldedaten für ein anderes lokales Konto und muss eine präparierte Anwendung ausführen, die die Registry-Hive des anderen Benutzers lädt. Eine erfolgreiche Ausnutzung kann dazu führen, dass der Angreifer die Daten dieses Benutzers einsehen oder verändern und seine Berechtigungen auf Administratorebene ausweiten kann.

Der Angriff weist eine geringe Komplexität auf und erfordert keine Benutzerinteraktion:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Microsoft beschreibt CVE-2026-62832 als öffentlich bekannt und als „more likely“ auszunutzen, hält jedoch ausdrücklich fest, dass keine Ausnutzung festgestellt wurde. Berichte deuten auf einen möglichen Zusammenhang mit der öffentlich diskutierten „LegacyHive“-Problematik hin, die mit dem unter dem Namen Nightmare Eclipse bekannten Sicherheitsforscher in Verbindung steht. Dieser Zusammenhang ist jedoch nicht bestätigt.

Betroffene Systeme und die jeweiligen Mindest-Builds mit behobenem Fehler sind:

• Windows 10 21H2: 10.0.19044.7663
• Windows 10 22H2: 10.0.19045.7663
• Windows 11 23H2: 10.0.22631.7517
• Windows 11 24H2: 10.0.26100.9168
• Windows 11 25H2: 10.0.26200.9168
• Windows 11 26H1: 10.0.28000.2704
• Windows Server 2022: 10.0.20348.5499
• Windows Server 2025: 10.0.26100.33296

Microsoft nannte einen anonymen Hinweisgeber als Entdecker und veröffentlichte am 11. August 2026 die Version 1.0 des Sicherheitshinweises.

Container-Isolationsfehler ermöglicht lokale Manipulation

CVE-2026-72971 betrifft unionfs.sys, den Windows Container Isolation FS Filter Driver. Die Schwachstelle ermöglicht es einem lokalen Angreifer mit niedrigen Berechtigungen, Daten ohne Benutzerinteraktion zu manipulieren.

Die Schwachstelle hat einen CVSS-Wert von 5,5 und folgenden Vektor:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Die Auswirkungen beschränken sich auf die Integrität. Die Bewertung weist weder Folgen für die Vertraulichkeit noch für die Verfügbarkeit aus. Microsoft geht Berichten zufolge von einer eher unwahrscheinlichen Ausnutzung aus; Hinweise auf Angriffe sind nicht bekannt.

NVD führt Builds von Windows 11 26H1 unterhalb von 10.0.28000.2704 als verwundbar auf. Darüber hinaus sind keine genauen Angaben aus dem Microsoft-Sicherheitshinweis verfügbar.

Verteidiger sollten risikobasiert patchen und anschließend exponierte Hosts untersuchen

CVE-2026-68820 sollte bei der Verteilung von Updates Priorität haben, da die Schwachstelle aktiv ausgenutzt wird und den Zugriff auf SYSTEM-Rechte ermöglichen kann. CVE-2026-62832 sollte ebenfalls beschleunigt behoben werden, da sie öffentlich bekannt ist und Microsoft eine Ausnutzung für eher wahrscheinlich hält.

Für keine der beiden Schwachstellen wurde eine konkrete Umgehungslösung veröffentlicht. Die Installation der offiziellen Microsoft-Updates ist die verfügbare Maßnahme zur Behebung.

Unternehmen sollten das umfangreiche Updatepaket in verschiedenen Endpoint-Konfigurationen, Serverrollen, Sicherheitsprodukten und kritischen Anwendungen testen. Verteilungen in mehreren Ringen können Störungen begrenzen und gleichzeitig dabei helfen, fehlgeschlagene Installationen, Kompatibilitätsprobleme, unerwartete Neustarts und instabile Dienste zu erkennen.

Verteidiger sollten potenziell exponierte Systeme außerdem auf verdächtige lokal ausgeführte Anwendungen, ungewöhnliche Ereignisse zur Rechteausweitung und anomale Aktivitäten im Zusammenhang mit afd.sys prüfen. Da keine spezifischen Indikatoren für die Ausnutzung veröffentlicht wurden, muss sich die Untersuchung auf Verhaltens- und Endpoint-Telemetrie stützen.

Bei CVE-2026-62832 sollten Teams unerwartete Ladevorgänge von Registry-Hives, Zugriffe unter Beteiligung mehrerer lokaler Konten und Änderungen an den Daten anderer Benutzer untersuchen. Vor einer breiten Verteilung sollten Backups erstellt werden.

Die große Zahl an behobenen Schwachstellen erhöht den betrieblichen Druck. KI-gestützte Suche nach Schwachstellen hilft Sicherheitsforschern dabei, Fehler schneller zu identifizieren. Die automatisierte Behebung ist jedoch weiterhin weniger zuverlässig. Eine Untersuchung von 1Password ergab, dass von Large Language Models erstellte Patches in mehr als der Hälfte der getesteten Fälle die ursprüngliche Schwachstelle nicht behoben, eine weitere Schwachstelle eingeführt oder beides getan hatten.

Von KI erzeugte Patches erfordern daher weiterhin eine Prüfung durch Menschen, wiederholte Tests und eine unabhängige Verifizierung. Schnelleres Auffinden von Schwachstellen führt bislang nicht automatisch zu sicheren Lösungen, die ohne weitere Prüfung eingesetzt werden können.