Microsoft schließt mit dem August-Patchday 421 Sicherheitslücken, über 60 davon kritisch. Der Schwerpunkt verschiebt sich diesmal deutlich in den Kernel und in die Cloud. Nur eine Schwachstelle wird bereits aktiv ausgenutzt, zwei weitere waren schon vor dem Patch öffentlich bekannt.
Aktiv ausgenutzt: Lücke im WinSock-Treiber
Als einzige aktiv ausgenutzte Schwachstelle gilt CVE-2026-68820 im Windows Ancillary Function Driver for WinSock. Der Treiber afd.sys bildet den Unterbau der Windows-Sockets-Schnittstelle und läuft im Kernel. Ein Use-after-free über eine Race Condition erlaubt einem lokal angemeldeten Angreifer mit geringen Rechten den Sprung auf SYSTEM, ganz ohne Zutun eines Anwenders. Die CVSS-Bewertung liegt bei 7.0, die US-Behörde CISA hat den Fehler am 11. August in ihren KEV-Katalog aufgenommen. Die nordkoreanische Gruppe Lazarus nutzt die Lücke bereits seit Juni oder Juli 2026 aktiv, um eine neue Version ihres Kernel-Rootkits FudModule nachzuladen. Gemeldet hat sie das Team von Check Point.
Vor dem Patchday waren zudem zwei weitere Fehler öffentlich bekannt. CVE-2026-62832 im Windows User Profile Service hebt lokale Rechte über eine Link-Following-Schwäche auf Administratorebene, einen Angriff hält Microsoft für wahrscheinlich. CVE-2026-72971 im Container Isolation FS Filter Driver unionfs.sys erlaubt über dieselbe Schwäche den verändernden Zugriff auf fremde Dateien, gilt aber mit CVSS 5.5 als eher unwahrscheinlich ausnutzbar.
Kritische Codeausführung über das Netz
Die gefährlichsten Lücken des Monats erlauben entfernte Codeausführung ohne Anmeldung. CVE-2026-62878 im Windows DNS Server erreicht CVSS 9.8 und beruht auf einem stapelbasierten Pufferüberlauf, den ein Angreifer unauthentifiziert über das Netz auslösen kann. Der Angriff kann sich prinzipiell wurmartig von System zu System ausbreiten. Denselben Wert erreicht CVE-2026-62893 im TFTP-Server der Windows Deployment Services, denn das Trivial File Transfer Protocol kennt keine Anmeldung und lauscht offen auf UDP-Port 69. Auch Microsoft QUIC ist über CVE-2026-62815 mit CVSS 9.8 verwundbar, hier gelingt die Codeausführung über das Netzwerkprotokoll selbst. Ebenfalls bei 9.8 liegen CVE-2026-59124 im HPC Pack und CVE-2026-65791 im iSCSI Target Service, beide aus der Ferne und ohne Anmeldung angreifbar.
Höchstwerte in Azure und Microsoft 365
Den Maximalwert CVSS 10.0 erreichen drei Lücken außerhalb des klassischen Windows. CVE-2026-56162 in der Azure SQL Database beruht auf einer fehlerhaften Authentifizierung, über die ein Angreifer unauthentifiziert über das Netz seine Rechte anheben kann. Auf denselben Wert kommen CVE-2026-63508 in Microsoft Planetary Computer Pro und CVE-2026-65667 in Microsoft Teams, beide serverseitig behoben. Knapp darunter liegen mehrere Cloud-Rechteausweitungen mit CVSS 9.9, darunter CVE-2026-50481 in Azure Active Directory, CVE-2026-59115 im Entra Provisioning Service und CVE-2026-62830 im Azure SRE Agent. Über CVE-2026-50515 im Azure Service Bus lässt sich mit demselben Wert aus der Ferne Code ausführen.
Exchange, SharePoint und Office
In Exchange Server steckt mit CVE-2026-62911 eine Rechteausweitung über eine Authentifizierungsumgehung mit CVSS 8.0. Gelingt der Angriff, kann ein Angreifer sämtliche Postfächer übernehmen, Nachrichten lesen und senden sowie Anhänge herunterladen. Bei der Pwn2Own 2026 in Berlin gelang genau dieser Angriff mit funktionierendem Exploit. SharePoint Server bringt mit CVE-2026-65665 eine kritische Codeausführung (CVSS 8.8) mit, über CVE-2026-70332 lässt sich SharePoint zudem für einen Spoofing-Angriff mit CVSS 9.6 missbrauchen. Die Office-Familie zählt eine lange Reihe von Codeausführungen mit jeweils CVSS 7.8, betroffen sind Word, Excel und die Office Graphics Component. CVE-2026-70130 in Microsoft Office hebt den Wert auf 8.4.
Fazit zum Patchday
Der August 2026 verlagert das Risiko in den Kernel und in die Cloud. Mit der aktiv ausgenutzten WinSock-Lücke installiert eine nordkoreanische Gruppe ein Kernel-Rootkit, während die wurmfähige DNS-Lücke, die TFTP-Schwachstelle und der QUIC-Fehler mit jeweils CVSS 9.8 die gefährlichsten Angriffe aus der Ferne bilden. Anders als im Juli meldet Microsoft für die August-Pakete keine bekannten Update-Probleme. Priorisiere die aktiv ausgenutzte Kernel-Lücke sowie die unauthentifizierten Netzwerk- und Cloud-Fehler, wenn du deine Systeme absicherst.