Microsoft schließt 421 Sicherheitslücken: Zero-Day in `afd.sys` wird aktiv ausgenutzt

August-Patchday: Kernel-Schwachstelle bereits unter Angriff

Microsoft hat am 11. August 2026 Sicherheitsupdates für 421 Schwachstellen veröffentlicht. Darunter befindet sich CVE-2026-68820, eine als „High Severity“ eingestufte Schwachstelle, die bereits aktiv als Zero-Day ausgenutzt wird.

Betroffen ist der Kernel-Treiber Ancillary Function Driver for WinSock, der Dateiname lautet afd.sys. Die Komponente wird von den Windows Sockets APIs verwendet. Die Schwachstelle ist ein Use-after-free im Zusammenhang mit einer Race Condition.

Für eine erfolgreiche Ausnutzung muss der Angreifer lokal authentifiziert sein und eine speziell präparierte Anwendung starten. Eine Interaktion des Benutzers ist nicht erforderlich. Der Angriff kann jedoch eine Privilegienerweiterung bis hin zu SYSTEM ermöglichen – der höchsten Berechtigungsstufe unter Windows.

Microsoft hat Aktivitäten von Akteuren festgestellt, die diese Berechtigungen erlangen konnten. Details zu Vorgehensweise, Zielen oder eingesetzten Werkzeugen wurden jedoch nicht veröffentlicht.

Die Aufmerksamkeit für afd.sys ist auch wegen vergleichbarer früherer Fälle gestiegen. Seit 2022 wurden drei weitere Zero-Days bekannt, die in demselben Treiber ausgenutzt wurden: CVE-2025-32709, CVE-2025-21418 und CVE-2024-38193. Letztere Schwachstelle wurde mit nordkoreanischen Akteuren in Verbindung gebracht, die der Lazarus-Gruppe zugeordnet werden. Laut Tenable deutet die wiederholte Ausnutzung dieser Komponente auf ein mögliches Interesse staatlich unterstützter Gruppen hin.

Weitere Schwachstellen mit dringendem Handlungsbedarf

Die zweite Priorität ist CVE-2026-62832 im Windows User Profile Service. Die Schwachstelle ermöglicht einen Link-Following-Angriff vor der Anmeldung am System.

Ein authentifizierter Benutzer mit den Anmeldedaten eines anderen lokalen Kontos kann die Registrierungsstruktur des Opfers laden, dessen Daten lesen oder verändern und sich dadurch administrative Rechte verschaffen. Die Schwachstelle wurde öffentlich bekannt gemacht. Microsoft hält eine Ausnutzung für wahrscheinlich, führt sie jedoch nicht als bereits in freier Wildbahn ausgenutzt auf.

Ebenfalls öffentlich bekannt ist CVE-2026-72971 im Treiber Windows Container Isolation FS Filter Driver (unionfs.sys). Sie kann eine lokale Manipulation über Link Following ermöglichen. Microsoft bewertet die Wahrscheinlichkeit einer tatsächlichen Ausnutzung jedoch als gering.

Zu den Schwachstellen mit möglicher Remote-Code-Ausführung gehören:

• CVE-2026-62878 im Windows DNS Server;
• CVE-2026-62893 im Windows Deployment Services TFTP Server;
• CVE-2026-62815 in Microsoft QUIC;
• CVE-2026-59124 im Microsoft HPC Pack.

Das Paket umfasst außerdem CVE-2026-62911, eine lokale Privilegienerweiterung in Exchange Server, sowie zwei Schwachstellen in der TPM-2.0-Referenzimplementierung:

• CVE-2026-6726, als Spoofing-Schwachstelle eingestuft;
• CVE-2026-6727, eine Schwachstelle zur Offenlegung von Informationen.

Betroffene Produkte und Verteilung der Updates

Die Updates betreffen zahlreiche Microsoft-Produkte:

• 236 Schwachstellen in Windows;
• 98 in Office;
• 98 in Office 2016;
• 30 in SharePoint Server;
• 26 in Developer Tools;
• 17 in Azure;
• 7 in Exchange Server;
• 1 in Defender;
• 6 in weiteren Produkten.

In der Gesamtzahl sind auch die beiden CVEs zur TPM-2.0-Referenzimplementierung enthalten, obwohl diese nicht unmittelbar zu einem Microsoft-Produkt gehören.

Die genau betroffenen und korrigierten Versionen wurden nicht veröffentlicht. Daher sollte die Anwendbarkeit der Patches mithilfe der üblichen Microsoft-Tools für das Update-Management und anhand des Unternehmensinventars geprüft werden.

Was Administratoren und Unternehmen tun sollten

Die Sicherheitsupdates vom August 2026 sollten mit hoher Priorität installiert werden. Der Fokus sollte zunächst auf CVE-2026-68820 und den bereits öffentlich bekannten Schwachstellen liegen.

Operativ vorrangig sollten außerdem Systeme behandelt werden, auf denen folgende Komponenten ausgeführt oder nach außen bereitgestellt werden:

• Windows DNS Server;
• Windows Deployment Services TFTP Server;
• Microsoft QUIC;
• Microsoft HPC Pack;
• Exchange Server;
• Windows Container Isolation.

Zunächst sollte überprüft werden, ob die Patches auf den betroffenen Windows-Systemen und Servern installiert sind. Zusätzlich empfiehlt es sich, nach Anzeichen ungewöhnlicher lokaler Codeausführung, nach Versuchen einer Privilegienerweiterung auf SYSTEM, nach unerwartetem Laden von Registrierungsstrukturen und nach verdächtigen Aktivitäten in Netzwerkdiensten zu suchen.

Microsoft hat keine spezifischen Workarounds oder weiteren technischen Maßnahmen genannt. Solange keine alternativen Korrekturen verfügbar sind, bleibt die Installation der Updates die wichtigste Maßnahme zur Risikoreduzierung.