Patch Tuesday im August: Microsoft behebt 400 Schwachstellen, drei davon sind Zero-Days

Drei Zero-Days, einer davon bereits von Lazarus ausgenutzt

Microsoft hat am 11. August 2026 die Sicherheitsupdates des August-Patch-Tuesdays veröffentlicht und dabei 400 Schwachstellen behoben. Drei davon gelten als Zero-Days: Eine wurde bereits aktiv ausgenutzt, zwei waren zuvor öffentlich bekannt geworden.

Die bei Angriffen ausgenutzte Schwachstelle ist CVE-2026-68820 im Treiber AFD.sys, dem Windows Ancillary Function Driver for WinSock. Es handelt sich um eine Use-after-free-Schwachstelle, über die ein lokal authentifizierter Angreifer mithilfe einer speziell präparierten Anwendung eine Race Condition auslösen und SYSTEM-Rechte erlangen kann.

Check Point schreibt die Entdeckung Moshe Marelus und David Driker zu. Nach Angaben des Unternehmens soll die nordkoreanische Gruppe Lazarus die Schwachstelle genutzt haben, um eine neue Variante des Kernel-Rootkits FudModule zu verbreiten. Microsoft hat keine technischen Details zum Exploit veröffentlicht.

Bereits öffentlich bekannte Windows-Schwachstellen

CVE-2026-62832 betrifft den Windows User Profile Service. Eine fehlerhafte Auflösung von Verknüpfungen vor dem Dateizugriff ermöglicht es einem authentifizierten Angreifer mit einem anderen lokalen Konto, die Registry-Hive eines Benutzers zu laden, deren Daten zu lesen oder zu verändern und sich Administratorrechte zu verschaffen.

Die Schwachstelle erfordert keine Benutzerinteraktion. Microsoft schreibt die Meldung einem anonymen Sicherheitsforscher zu; die Beschreibung entspricht dem von Nightmare Eclipse veröffentlichten Problem LegacyHive.

Will Dormann, Principal Vulnerability Analyst bei Tharros, erklärte, dass ein Benutzer ohne Administratorrechte die Registry-Hive manipulieren kann, um Befehle vorzubereiten, die mit Administratorrechten ausgeführt werden, sobald sich der Administrator am Gerät anmeldet.

Der dritte Zero-Day ist CVE-2026-72971 im Windows Container Isolation FS Filter Driver, der Datei unionfs.sys. Microsoft beschreibt die Schwachstelle als lokal ausnutzbare Manipulationslücke, die durch eine fehlerhafte Verarbeitung von Verknüpfungen vor dem Dateizugriff entsteht.

Die Schwachstelle wurde öffentlich bekannt gemacht. Weitere verifizierbare Details zu den praktischen Auswirkungen oder den Angriffsmethoden liegen jedoch nicht vor.

Ein Paket mit 42 kritischen Schwachstellen

Von den 400 behobenen Schwachstellen sind 42 als Critical eingestuft: 37 ermöglichen Remote Code Execution, fünf eine Rechteausweitung.

Die Gesamtverteilung umfasst:

• 176 Schwachstellen zur Rechteausweitung;
• 110 Schwachstellen zur Remotecodeausführung;
• 86 Schwachstellen zur Offenlegung von Informationen;
• 21 Spoofing-Schwachstellen;
• 12 Denial-of-Service-Schwachstellen;
• 11 Schwachstellen zur Umgehung von Sicherheitsfunktionen.

Die dokumentierten Auswirkungen reichen von Remotecodeausführung über den Erwerb von SYSTEM- oder Administratorrechten bis hin zum Zugriff auf und zur Manipulation von Daten anderer Benutzer.

Die Zahl umfasst ausschließlich die im Patch Tuesday vom 11. August veröffentlichten Korrekturen. Zuvor behobene Probleme in Mariner, Microsoft Teams, Microsoft Azure, Microsoft Entra, Microsoft Office und Power Apps sind nicht enthalten. Im Vormonat hatte Microsoft 570 Schwachstellen behoben.

Microsoft rechnet außerdem mit einer steigenden Zahl von Updates, die auf den Einsatz eines KI-gestützten Systems zur Schwachstellenerkennung zurückgeführt wird.

Was Administratoren tun sollten

Die Sicherheitsupdates für August 2026 sollten installiert werden. Priorität haben exponierte Windows-Systeme sowie Geräte mit mehreren lokalen Konten. Die Korrekturen betreffen auch Umgebungen, in denen AFD.sys, der Windows User Profile Service oder unionfs.sys eingesetzt werden.

Microsoft hat keine Workarounds, temporären Abhilfemaßnahmen oder Indicators of Compromise genannt. Die genauen betroffenen Windows-Versionen der drei Schwachstellen wurden nicht veröffentlicht.

Für die Nicht-Sicherheitsupdates werden folgende Pakete genannt:

• Windows 11 KB5121003;
• Windows 11 KB5120240;
• Windows 10 KB5120249, Extended Security Update.