Am 14. August 2026 endete einer der angespanntesten Monate in der Geschichte der Cybersicherheit im Unternehmenssektor. Im Rahmen des traditionellen Update-Zyklus „Patch Tuesday' veröffentlichte Microsoft ein umfangreiches Paket an Sicherheitsupdates, das mehr als 400 Schwachstellen in ihren Produkten betraf. Darunter befanden sich 42 kritische Fehler, die es Angreifern ermöglichen, schädlichen Code aus der Ferne auszuführen. Besonders die Aufmerksamkeit der Experten erregte das Vorhandensein von drei Zero-Day-Schwachstellen, von denen eine bereits aktiv in der „Wildnis' ausgenutzt wurde.

Aktive Ausnutzung der Lazarus-Schwachstelle

Das zentrale Ereignis des August-Updates war die Schwachstelle CVE-2026-68820, die im Windows Ancillary Function Driver für WinSock entdeckt wurde. Ein Fehler vom Typ „Use after free' ermöglicht es einem lokalen, autorisierten Angreifer, einen Race Condition auszulösen und SYSTEM-Rechte zu erlangen. Laut Angaben des Unternehmens Check Point wurde diese Lücke bereits von der nordkoreanischen Hackergruppe Lazarus genutzt, um eine neue Version des Rootkits FudModule im Kernel-Modus zu installieren. Dies bestätigt, dass die Bedrohung nicht theoretisch, sondern real ist und bereits einigen Organisationen Schaden zugefügt hat.

Zwei weitere Zero-Day-Schwachstellen

Neben CVE-2026-68820 hat Microsoft zwei weitere kritische Zero-Day-Schwachstellen behoben. CVE-2026-62832 im Windows User Profile Service ermöglicht es einem lokalen Benutzer, den Registrierungshive eines anderen Kontos zu laden und Administratorrechte zu erhalten. Dieser Fehler deckt sich mit der Schwachstelle LegacyHive, die zuvor vom Forscher Nightmare Eclipse entdeckt wurde. Die zweite Schwachstelle, CVE-2026-72971, betrifft den Treiber für die Container-Isolierung von Windows (unionfs.sys) und ermöglicht eine lokale Erhöhung der Privilegien aufgrund einer fehlerhaften Verarbeitung von Verweisen vor dem Zugriff auf Dateien.

Widersprüchliche Daten

Obwohl sich die meisten Quellen darin einig sind, dass Microsoft etwa 400 Schwachstellen geschlossen hat, variieren die genauen Zahlen. Laut SecurityWeek wurden 421 CVEs behoben, während ITWire von 398 Schwachstellen berichtet. Der Unterschied könnte darauf zurückzuführen sein, dass einige Quellen nur die Updates berücksichtigen, die direkt am Patch Tuesday veröffentlicht wurden, während andere zuvor behobene Fehler in Mariner, Microsoft Teams, Azure, Entra, Office und Power Apps einschließen. Dies schafft Unsicherheit in der Gesamtstatistik, ändert aber nichts an der Essenz: Das Ausmaß der Updates war beispiellos.

Updates von anderen Technologie-Giganten

Microsoft war nicht das einzige Unternehmen, das im August 2026 kritische Updates veröffentlichte. Adobe behob Schwachstellen in Coldfusion, Commerce, Lightroom Classic, Content Credentials SDK und Campaign Classic. Cisco beseitigte Mängel in Catalyst SD-WAN, IOS, IOS XE und ClamAV. Metabase schloss eine kritische SQL-Injection-Schwachstelle, die für den Diebstahl von Daten genutzt wurde. N-able behob einen Authentifizierungs-Bypass (CVE-2026-18577) in N-central-Servern. SAP veröffentlichte ein Update für SAP Commerce Cloud mit einer Kritikalitätsbewertung von 10,0 aufgrund einer fehlerhaften Autorisierung. TP-Link beseitigte 15 Schwachstellen im ZTP-Mechanismus der Omada-Netzwerkgeräte. VMware behob einen Authentifizierungs-Bypass und die Möglichkeit zur Remote-Code-Ausführung im VMware Avi Load Balancer.

Empfehlungen für Organisationen

Experten empfehlen allen Organisationen dringend, die August-Updates von Microsoft sofort zu installieren, insbesondere wenn sie Windows in einer Produktionsumgebung verwenden. Angesichts der aktiven Ausnutzung der Lazarus-Schwachstelle kann das Verschieben des Patchings zu schwerwiegenden Vorfällen führen. Es ist ebenfalls wichtig, auf das Vorhandensein von Updates anderer Anbieter zu prüfen, da viele von ihnen kritische Infrastrukturkomponenten betreffen.