Das Microsoft-Sicherheitsupdate für August schließt CVE-2026-68820 – eine Elevation-of-Privilege-Schwachstelle im Windows-Kernel-Treiber afd.sys, die laut Microsoft bereits in realen Angriffen ausgenutzt wird. Trotz eines CVSS-Score von 7,0 sollte genau diese Schwachstelle – und nicht die vier RCE-Schwachstellen mit einem Score von 9,8 – ganz oben auf der Liste für die Patch-Installation stehen. Nach Zählung der Zero Day Initiative enthält der Release 398 neue CVE, von denen 62 als Critical eingestuft wurden. Neben der Zero-Day-Schwachstelle schließt das Update den zweiten Teil der im Juli begonnenen zweistufigen Behebung einer Angriffskette auf SharePoint ab.
CVE-2026-68820: use-after-free im Windows-Kernel
Die Schwachstelle CVE-2026-68820 betrifft die Komponente afd.sys (Ancillary Function Driver for WinSock) – einen Kernel-Treiber, der Netzwerkoperationen mit Sockets verarbeitet. Laut Check Point Research gehört die Schwachstelle zur Klasse der use-after-free-Bugs und wird über eine race condition im Treiber ausgenutzt.
Für eine erfolgreiche Ausnutzung ist eine vorherige Codeausführung auf dem Zielsystem erforderlich; anschließend ermöglicht die Schwachstelle eine Privilegienerhöhung bis auf SYSTEM-Ebene. Es ist die einzige Schwachstelle im August-Release, die von Microsoft als aktiv ausgenutzt gekennzeichnet wurde. Microsoft hat zur Attribution der Ausnutzung keine Angaben gemacht.
Bedrohungskontext: Verbindung zu Lazarus
Check Point Research führt die Ausnutzung von CVE-2026-68820 auf die Gruppe Lazarus und deren Kampagne Operation Dream Job zurück. Es ist zu betonen, dass diese Attribution von einer einzigen Forschungsquelle stammt und bislang nicht unabhängig bestätigt wurde. Operation Dream Job ist eine langfristige Kampagne, in der Lazarus fingierte Jobangebote nutzt, um Ziele – vorwiegend aus dem Technologie- und Verteidigungssektor – initial zu kompromittieren.
Die Angriffskette ist schlüssig: Eine Phishing-E-Mail mit einem „Jobangebot“ verschafft die anfängliche Codeausführung, und CVE-2026-68820 wird anschließend zur Privilegienerhöhung auf SYSTEM genutzt – ein kritischer Schritt für die Persistenz im System und die weitere laterale Bewegung im Netzwerk.
Vier CVSS-9.8-Schwachstellen ohne Authentifizierung
Vier Remote-Code-Execution-Schwachstellen erfordern keinerlei Aktion seitens der Opfer – weder ein Benutzerkonto, noch ein Passwort oder einen Klick. Alle sind mit einem CVSS-Score von 9,8 bewertet:
- CVE-2026-62878, Windows DNS Server – ein Buffer Overflow auf dem Stack, der remote ohne Authentifizierung ausnutzbar ist. Die Zero Day Initiative beschreibt die Bedingungen als potenziell „wormable“, auch wenn Microsoft die Ausnutzungswahrscheinlichkeit als gering einstuft. Wichtig: Die Charakterisierung „wormable“ beschreibt die technische Möglichkeit, nicht das Vorhandensein eines realen Wurms.
- CVE-2026-62893, Windows Deployment Services – eine Remote-Schwachstelle, die über die Verarbeitung von TFTP ohne Authentifizierung und ohne Benutzereingriff ausgenutzt wird.
- CVE-2026-62815, Microsoft QUIC – Remote Code Execution ohne Authentifizierung und ohne Benutzereingriff.
- CVE-2026-59124, HPC Pack – trotz CVSS 9,8 als Important und nicht als Critical klassifiziert, da HPC Pack nicht standardmäßig installiert wird. Gleichzeitig bewertet Microsoft die Ausnutzungswahrscheinlichkeit als hoch.
Keine der vier Schwachstellen war zum Zeitpunkt der Veröffentlichung der Updates als ausgenutzt gekennzeichnet. Die praktische Priorität jeder einzelnen hängt davon ab, ob der entsprechende Dienst in der jeweiligen Umgebung bereitgestellt und von außen erreichbar ist.
Abschluss der Angriffskette auf SharePoint
Das August-Update schließt den zweiten Teil einer Exploit-Kette für SharePoint, die von Rapid7 Labs entdeckt wurde. Nach bisherigen Erkenntnissen kombiniert die Kette einen Authentifizierungs-Bypass mit Remote Code Execution, was auf lokalen SharePoint-Farmen zu nicht authentifizierter RCE führt.
Das Juli-Update beseitigte CVE-2026-55040 – einen kritischen Authentifizierungs-Bypass mit einem CVSS-Score von 9,1. Laut Rapid7 ermöglicht diese Schwachstelle einem entfernten, nicht authentifizierten Angreifer, die Identität eines SharePoint-Benutzers oder -Administrators anzunehmen, sofern der Angreifer das Zielkonto kennt.
Der August-Patch schließt CVE-2026-63520 – die Komponente für Remote Code Execution. Ein wesentlicher Punkt: CVE-2026-63520 allein ermöglicht keinen nicht authentifizierten Zugriff. Erst die Kombination beider Schwachstellen zur Kette eröffnete einen vollständigen Angriffsvektor. Nach Angaben von Rapid7 unterbricht bereits die Installation des Juli-Patches für CVE-2026-55040 die demonstrierte Kette, allerdings sind beide Updates erforderlich, um die Risiken vollständig zu beseitigen.
Priorisierung und Empfehlungen
Empfohlene Reihenfolge für die Installation der Patches:
- CVE-2026-68820 – sofort auf allen Windows-Systemen. Die aktive Ausnutzung ist bestätigt, trotz des relativ moderaten CVSS-Scores. Besonderes Augenmerk auf Systeme, auf denen eine anfängliche Codeausführung über Phishing oder andere Vektoren möglich ist.
- CVE-2026-62878, CVE-2026-62893, CVE-2026-62815 – vorrangig auf Servern mit DNS, WDS und QUIC, die aus externen Netzen erreichbar sind. Eine Inventarisierung durchführen: Ist der Dienst nicht bereitgestellt, besteht kein Risiko.
- CVE-2026-59124 – nur, wenn HPC Pack installiert ist.
- CVE-2026-55040 und CVE-2026-63520 – lokale SharePoint-Farmen auf das Vorhandensein beider Patches (Juli- und August-Update) prüfen.
Besondere Aufmerksamkeit verdient CVE-2026-62878 im DNS Server: Die „wormable“-Einstufung durch die ZDI bedeutet, dass sich ein funktionierender Exploit bei Auftreten automatisch zwischen DNS-Servern ohne menschliches Zutun ausbreiten könnte. Organisationen mit extern erreichbaren DNS-Servern auf Windows sollten diesen Patch ähnlich hoch priorisieren wie die Zero-Day-Schwachstelle.
Angesichts von 398 CVE in einem Release ist der zentrale Grundsatz, nicht zu versuchen, alles gleichzeitig zu schließen, sondern die Reihenfolge anhand von drei Kriterien festzulegen: bestätigte Ausnutzung (CVE-2026-68820), externe Erreichbarkeit des Dienstes (DNS, WDS, QUIC) und Vorhandensein der verwundbaren Komponente in der eigenen Infrastruktur. Für Organisationen mit lokalen SharePoint-Farmen ist es kritisch, sicherzustellen, dass beide Patches installiert sind – der Juli-Patch für CVE-2026-55040 und der August-Patch für CVE-2026-63520 –, da keiner von beiden für sich allein alle Komponenten der demonstrierten Angriffskette beseitigt.
