Patch Tuesday im August 2026: Microsoft behebt 398 Schwachstellen, darunter eine Zero-Day-Lücke und eine wurmfähige RCE

August-Release umfasst 398 Sicherheitskorrekturen

Microsoft hat am 12. August 2026 die Sicherheitsupdates für den Patch Tuesday veröffentlicht. Die Version behebt 398 Schwachstellen in Windows, Office, Azure, Exchange Server, SharePoint, Teams, GitHub Copilot, .NET und weiteren Komponenten.

62 Schwachstellen sind als Critical eingestuft. Eine wird aktiv ausgenutzt, zwei weitere wurden öffentlich bekannt gemacht.

Die genauen Versionsnummern der betroffenen Produkte wurden nicht veröffentlicht. Zu den betroffenen Komponenten gehört auch die TPM-2.0-Referenzimplementierung mit jeweils einer Spoofing- und einer Informationsoffenlegungs-Schwachstelle.

CVE-2026-68820: Zero-Day im WinSock-Treiber

Die dringendste Schwachstelle ist CVE-2026-68820 im Kernel-Mode-Treiber afd.sys, der die Windows-Sockets-API unterstützt.

Es handelt sich um ein Use-after-free-Problem mit lokaler Rechteausweitung. Ein autorisierter Angreifer, der bereits Code auf dem System ausführen kann, muss eine Race Condition überwinden, um Code mit SYSTEM-Berechtigungen auszuführen.

Microsoft bestätigt die aktive Ausnutzung. Die CVSS-Bewertung weist jedoch eine Exploit-Maturity von „Unproven“ aus. Damit gilt die zuverlässige Verfügbarkeit eines Exploits bislang nicht als nachgewiesen.

Diese Schwachstelle ist der Zero-Day dieses Releases.

DNS-Schwachstelle kann automatische Verbreitung begünstigen

CVE-2026-62878 betrifft den Windows DNS Server und ist als Critical eingestuft. Die Schwachstelle ist ein stackbasierter Buffer Overflow, der die Remote-Codeausführung mit erhöhten Berechtigungen ermöglichen kann.

Es sind weder eine Authentifizierung noch eine Benutzerinteraktion erforderlich: Ein speziell präpariertes Paket muss lediglich über das Netzwerk an einen verwundbaren Dienst gesendet werden. Die Schwachstelle kann daher wurmfähige Eigenschaften aufweisen – insbesondere wenn der DNS-Server aus dem Internet erreichbar ist. Dadurch besteht das Risiko einer schnellen Ausbreitung auf erreichbare Systeme.

Weitere RCE-Schwachstellen, die dringend behandelt werden sollten:

• CVE-2026-62893 im TFTP-Server der Windows Deployment Services. TFTP erfordert keine Authentifizierung und verwendet den UDP-Port 69. Betroffen sind WDS-Server, die PXE-Boot anbieten.
• CVE-2026-62815 in der Microsoft-QUIC-Implementierung für den HTTP/3-Transport. Das potenzielle Ausmaß wird auf rund 13,5 Millionen Websites geschätzt.
• CVE-2026-59124 in Microsoft HPC Pack mit einem CVSS-Wert von 9.8. Microsoft stuft eine Ausnutzung als „exploitation more likely“ ein. Die Einstufung Important beruht darauf, dass HPC Pack standardmäßig nicht aktiviert ist.

Exchange, öffentlich bekannte Schwachstellen und operative Prioritäten

CVE-2026-62911 betrifft Exchange Server. Die Schwachstelle ermöglicht eine Umgehung der Authentifizierung und kann zur Rechteausweitung führen. Ein funktionsfähiger Exploit wurde bei Pwn2Own Berlin demonstriert und an Microsoft übermittelt.

Eine erfolgreiche Kompromittierung könnte den Zugriff auf sämtliche Postfächer des Servers ermöglichen – einschließlich des Lesens von Nachrichten sowie des Sendens und Herunterladens von Anhängen für jedes Konto. Der während des Wettbewerbs demonstrierte funktionsfähige Code stellt ein zusätzliches Risiko dar, unabhängig von Microsofts eigener Einschätzung der Ausnutzbarkeit.

Darüber hinaus wurden folgende Schwachstellen öffentlich bekannt gemacht:

• CVE-2026-62832 im Windows User Profile Service; eine Ausnutzung gilt als wahrscheinlich.
• CVE-2026-72971 im Container Isolation FS Filter Driver.

Administratoren sollten die Updates vom August 2026 zeitnah installieren und dabei folgende Systeme priorisieren:

1. aus dem Internet erreichbare DNS-Server;
2. WDS-Server und über UDP-Port 69 erreichbare TFTP-Dienste;
3. Systeme, die Microsoft QUIC verwenden;
4. HPC-Pack-Installationen;
5. Exchange-Server.

Außerdem sollte die Erreichbarkeit der DNS- und TFTP-Dienste überprüft werden. Die Systeme sind auf ungewöhnliche Aktivitäten im Zusammenhang mit Rechteausweitungen, verdächtige Zugriffe auf Postfächer oder unerwarteten Datenverkehr zu den betroffenen Diensten zu überwachen.