Nach dem Rekordmonat Juli, in dem Microsoft rund 570 Schwachstellen stopfen musste, fällt der August-Patchday auf den ersten Blick etwas kleiner aus. Doch „kleiner“ ist relativ: Mit über 400 behobenen Sicherheitslücken bewegt sich auch dieser Monat auf einem Niveau, das noch vor zwei Jahren als absoluter Ausnahmefall gegolten hätte. Dreistellige und mittlerweile fast vierstellige Patch-Zahlen sind zum Dauerzustand geworden.

Der Grund dafür ist strukturell und wird sich nicht mehr umkehren. Microsoft setzt inzwischen selbst auf KI-gestützte Systeme zur automatisierten Schwachstellensuche und hat angekündigt, dass genau das die Zahl der monatlichen Sicherheitsupdates dauerhaft nach oben treibt. Was der Codequalität langfristig guttut, bedeutet für Administratoren kurzfristig einen dauerhaft hohen Testaufwand.

Der eigentliche Unterschied zum Juli ist aber nicht die Menge, sondern die Brisanz einer einzelnen Lücke: Diesen Monat gibt es wieder einen Zero-Day, der bereits aktiv ausgenutzt wird, und zwar von einem staatlichen Akteur. Dieser Überblick zeigt, wo die Gefahr derzeit am größten ist und in welcher Reihenfolge Sie Ihre Systeme absichern sollten.

Die nackten Zahlen im Überblick

Bei den Gesamtzahlen lohnt ein genauer Blick, denn sie schwanken je nach Quelle erheblich. Microsoft selbst weist in seiner offiziellen Release-Note 421 Schwachstellen aus. Sicherheitsdienstleister wie Tenable kommen nach Abzug bestimmter Cloud- und Sonderfälle hingegen auf rund 398. Das ist eine reine Frage der Zählweise, die in den kommenden Tagen für unterschiedliche Zahlen in der Berichterstattung sorgen wird. Von diesen Lücken gelten 42 als kritisch, der ganz überwiegende Teil (355) als wichtig, eine einzelne als moderat. Innerhalb der kritischen Lücken dominiert erwartungsgemäß die Remotecodeausführung mit 37 Einträgen, hinzu kommen fünf kritische Rechteausweitungen. Für die Rollout-Planung hilfreich ist die Aufteilung nach Produkten: Allein 236 der Lücken entfallen auf Windows 11 und werden über das kumulative Update abgedeckt, weitere 98 auf Office (separate Office-Updates), gefolgt von SharePoint Server mit 30 und den Developer Tools mit 26.

Über alle Kategorien hinweg verteilen sich die Schwachstellen grob wie folgt: rund 176 Rechteausweitungen (Elevation of Privilege), etwa 110 Remotecodeausführungen (RCE), rund 86 Fälle von Informationsoffenlegung, 21 Spoofing-Lücken, 12 Denial-of-Service-Schwachstellen und 11 Umgehungen von Sicherheitsfunktionen. Besonders relevant sind in diesem Monat gleich drei Zero-Days: Eine davon wird bereits aktiv angegriffen, zwei weitere waren vor der Bereitstellung des Patches öffentlich bekannt.

Die kritischsten Brennpunkte im Detail

Wer diesen Patch-Zyklus überspringen möchte, sollte sich die folgende Liste genau ansehen. Mehrere Lücken betreffen zentrale Server-Rollen, die in praktisch jeder Windows-Domäne laufen: DNS-Server, DHCP und die Bereitstellungsdienste. Es folgt die detaillierte technische Aufarbeitung der wichtigsten Patches dieses Monats.

1. AFD.sys WinSock Elevation of Privilege (CVE-2026-68820)

CVSS-Score: 7,0

SCHWERWIEGENDKEIT: Hoch (aktiv ausgenutzt)

BEDROHUNG: Elevation of Privilege (Lokale Rechteausweitung auf SYSTEM)

EXPLOITS: Dies ist die einzige nachweislich aktiv ausgenutzte Schwachstelle dieses Monats und damit der wichtigste Patch überhaupt. Entdeckt und an Microsoft gemeldet wurde die Lücke von den Check-Point-Forschern Moshe Marelus und David Driker. Laut deren Analyse wurde sie im Rahmen gezielter Angriffe von der nordkoreanischen Lazarus-Gruppe eingesetzt, um über gefälschte Stellenangebote eine neue Variante des Kernel-Rootkits FudModule einzuschleusen. Auch Action1 stuft diese Schwachstelle als die mit Abstand wichtigste des gesamten Monats ein, schlicht weil die Ausnutzung bereits nachgewiesen ist. Kurios am Rande: Im CVSS-Vektor stuft Microsoft die Exploit-Reife formal als „unproven“ ein, benennt die Lücke gleichzeitig aber als aktiv ausgenutzt. Diesen Widerspruch hat unter anderem die Zero Day Initiative süffisant angemerkt.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle liegt im Ancillary Function Driver for WinSock (afd.sys), jenem Kernel-Treiber, der die Socket-Infrastruktur von Windows bereitstellt. Es handelt sich um einen Use-after-free-Fehler: Ein Speicherobjekt wird freigegeben und anschließend erneut referenziert. Ein lokal angemeldeter Angreifer mit niedrigen Rechten kann über eine speziell präparierte Anwendung eine Race Condition auslösen und diesen Zustand ausnutzen, um eigenen Code im Kontext des Kernels und damit mit SYSTEM-Rechten auszuführen. Eine Benutzerinteraktion ist nicht erforderlich.

AUSNUTZBARKEIT: Der Angriff setzt lokalen Zugriff und ein niedrig privilegiertes Konto voraus. Die Angriffskomplexität gilt als hoch, da der Angreifer das enge Zeitfenster der Race Condition treffen muss. Für einen staatlich unterstützten Akteur wie Lazarus ist das keine ernsthafte Hürde. Da afd.sys auf praktisch jedem Windows-System aktiv ist, ist die Angriffsfläche entsprechend groß.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Diese Lücke ist der klassische zweite Baustein einer Angriffskette. Nach dem initialen Zugang, etwa über ein manipuliertes Bewerbungsdokument, hebelt der Angreifer die Rechtetrennung des Systems aus und erlangt volle SYSTEM-Rechte. Mit dem nachgeladenen FudModule-Rootkit lassen sich anschließend Endpoint-Protection und Virenschutz blenden, Treiber manipulieren und dauerhafte, schwer auffindbare Persistenz verankern. Für Kommunen und KRITIS-nahe Einrichtungen ist der spionagegetriebene Hintergrund besonders brisant.

WORKAROUND: Einen sinnvollen technischen Workaround gibt es nicht; hier hilft nur das Einspielen des Updates. Flankierend sollte das EDR-System so konfiguriert werden, dass es verdächtige Kernel-Manipulationen und ungewöhnliche Kindprozesse erkennt. Ein konsequentes Least-Privilege-Prinzip und Application Control (zur Abwehr präparierter Dokumente aus Fake-Bewerbungen) senken das Restrisiko zusätzlich.

DRINGLICHKEIT: Höchste. Als einzige aktiv ausgenutzte Lücke des Monats gehört dieser Patch mit oberster Priorität auf alle Systeme, zuerst auf exponierte und besonders gefährdete Clients.

2. Windows User Profile Service – „LegacyHive“ (CVE-2026-62832)

CVSS-Score: 7,8

SCHWERWIEGENDKEIT: Hoch

BEDROHUNG: Elevation of Privilege (Rechteausweitung auf Administrator)

EXPLOITS: Die Schwachstelle war bereits vor Verfügbarkeit des Patches öffentlich bekannt. Sie entspricht dem als „LegacyHive“ veröffentlichten Proof-of-Concept des Sicherheitsforschers Nightmare Eclipse, also derselben Quelle, die bereits im Juni mit ihren BitLocker- und GreenPlasma-Veröffentlichungen für Aufsehen gesorgt hatte. Microsoft stuft die Ausnutzung als „eher wahrscheinlich“ ein.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist eine fehlerhafte Link-Auflösung (Improper Link Resolution / Link Following) im Windows-Benutzerprofildienst. Ein authentifizierter Angreifer, der über Zugangsdaten für ein anderes lokales Konto verfügt, kann mit einer präparierten Anwendung erzwingen, dass die Registry-Hive eines anderen Benutzers geladen wird. Über symbolische Verknüpfungen wird der Dienst dabei auf geschützte Pfade umgelenkt. Meldet sich anschließend ein Administrator an dem kompromittierten Gerät an, lassen sich auf diesem Weg Befehle mit dessen Rechten ausführen.

AUSNUTZBARKEIT: Erforderlich ist ein lokaler, authentifizierter Zugriff. Besonders relevant ist die Lücke auf Mehrbenutzer-Systemen wie Terminalservern, Citrix-Umgebungen oder geteilten Arbeitsplätzen, auf denen ohnehin mehrere Benutzerkonten existieren.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Aus einem gewöhnlichen Standardbenutzer wird ein Administrator. In Kombination mit einer Phishing-Mail ergibt sich eine zuverlässige Rechteausweitung: Sobald der Angreifer einen Fuß in der Tür hat, kann er Virenschutz deaktivieren, Anmeldedaten aus dem LSASS-Speicher auslesen und sich lateral im Netzwerk ausbreiten.

WORKAROUND: Primär gilt: patchen. Flankierend helfen ein striktes Least-Privilege-Prinzip, der Verzicht auf gemeinsam genutzte Konten sowie ein Monitoring auf das ungewöhnliche Laden fremder Registry-Hives.

DRINGLICHKEIT: Hoch. Öffentlich bekannter PoC, von Microsoft als „eher wahrscheinlich“ eingestuft.

3. Container Isolation FS Filter Driver (CVE-2026-72971)

CVSS-Score: 5,5

SCHWERWIEGENDKEIT: Hoch (öffentlich bekannt)

BEDROHUNG: Tampering (Lokale Manipulation)

EXPLOITS: Auch diese Lücke wurde vor Verfügbarkeit des Patches öffentlich bekannt; Microsoft schreibt die Entdeckung den Forschern „yhw & txz“ zu. Anders als bei den beiden vorgenannten Zero-Days stuft Microsoft die Ausnutzung hier als „unwahrscheinlich“ ein.

TECHNISCHE ZUSAMMENFASSUNG: Betroffen ist der Container Isolation FS Filter Driver (unionfs.sys), der das Overlay-Dateisystem für Windows-Container bereitstellt. Erneut liegt die Ursache in einer fehlerhaften Link-Auflösung: Über Link-Following lässt sich die Dateizugriffslogik des Treibers umlenken und für Manipulationen missbrauchen.

AUSNUTZBARKEIT: Der Angriff erfordert lokalen, authentifizierten Zugriff und ist praktisch nur auf Hosts relevant, die tatsächlich Windows-Container betreiben. Für reine Client-Arbeitsplätze ohne Container-Workloads ist das Risiko gering.

AUSWIRKUNGEN AUF DAS GESCHÄFT: In Container-Umgebungen kann die Lücke als Baustein dienen, um Dateien zu manipulieren oder Isolationsgrenzen aufzuweichen. Wo keine Container zum Einsatz kommen, ist die Angriffsfläche jedoch nicht gegeben.

WORKAROUND: Patch einspielen, insbesondere auf Container-Hosts. Umgebungen ohne Container haben hier keinen akuten Handlungsdruck.

DRINGLICHKEIT: Mittel. Öffentlich bekannt, aber als „unwahrscheinlich“ eingestuft und mit stark begrenzter Angriffsfläche.

4. Windows DNS Server Remote Code Execution (CVE-2026-62878)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / wurmfähig)

EXPLOITS: Bislang wurden weder aktive Angriffe noch eine öffentliche Veröffentlichung beobachtet, und Microsoft bewertet die Ausnutzung offiziell als „unwahrscheinlich“. Die Zero Day Initiative hält diese Einschätzung allerdings für zu optimistisch, da die Lücke wurmfähig ist. In diesem Monat wurden gleich mehrere DNS-Server-RCEs geschlossen, darunter CVE-2026-62817 (Out-of-Bounds-Write, CVSS 8,8) und CVE-2026-62820 (Race Condition, CVSS 8,1). CVE-2026-62878 ist aber mit Abstand die schwerste.

TECHNISCHE ZUSAMMENFASSUNG: Es handelt sich um einen Stack-based Buffer Overflow im Windows-DNS-Server. Ein nicht authentifizierter Angreifer kann durch ein speziell präpariertes Paket an den DNS-Dienst Code mit erhöhten Rechten ausführen, ohne jede Benutzerinteraktion.

AUSNUTZBARKEIT: Der Angriff erfolgt netzwerkbasiert, ohne Anmeldung und ohne Interaktion. Entscheidend für die Tragweite: Der Windows-DNS-Server läuft in aller Regel auf den Domänencontrollern. Eine erfolgreiche Ausnutzung trifft damit direkt das Herz des Active Directory.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf einem Domänencontroller ist der Worst Case. Der Angreifer kontrolliert damit sowohl die Namensauflösung als auch das Verzeichnis selbst und kann sich praktisch beliebig domänenweit ausbreiten. Durch die Wurmfähigkeit besteht zudem die Gefahr, dass ein einmal entwickelter Exploit sich selbstständig von System zu System weiterträgt.

WORKAROUND: Höchste Priorität beim Patchen der Domänencontroller und DNS-Server. Der DNS-Dienst sollte niemals unnötig aus dem Internet erreichbar sein, und auch die interne Exposition sollte über Segmentierung so weit wie möglich reduziert werden.

DRINGLICHKEIT: Kritisch. Domänencontroller zuerst patchen.

5. Windows Deployment Services TFTP Server RCE (CVE-2026-62893)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Aktive Angriffe sind bislang nicht bekannt, allerdings stuft Microsoft die Ausnutzung als „eher wahrscheinlich“ ein. Sowohl Action1 als auch die Zero Day Initiative heben diese Lücke ausdrücklich als besonders beachtenswert hervor.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle ist ein Use-after-free-Fehler im TFTP-Server-Bestandteil der Windows-Bereitstellungsdienste (Windows Deployment Services, WDS). Ein nicht authentifizierter Angreifer kann durch präparierte Pakete an den TFTP-/WDS-Dienst eine Codeausführung auf dem Server auslösen.

AUSNUTZBARKEIT: Der Angriff erfolgt netzwerkbasiert und ohne Authentifizierung. Betroffen sind Umgebungen, die WDS für PXE-Boot und die automatisierte Betriebssystem-Bereitstellung einsetzen, in der öffentlichen Verwaltung und in größeren Domänen keineswegs selten.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf dem Deployment-Server ist deshalb so gefährlich, weil dieser Server Betriebssystem-Images an neue Clients verteilt. Ein kompromittierter WDS-Server eignet sich hervorragend für eine flächendeckende Kompromittierung, gewissermaßen eine Supply-Chain-Attacke innerhalb des eigenen OS-Rollouts.

WORKAROUND: Patch einspielen. Der WDS-/TFTP-Dienst sollte nicht exponiert werden; PXE-Netzsegmente gehören isoliert. Wird WDS nicht benötigt, sollte der Dienst deaktiviert werden.

DRINGLICHKEIT: Hoch bis kritisch, insbesondere überall dort, wo WDS aktiv im Einsatz ist.

6. Windows DHCP Server Remote Code Execution (CVE-2026-62823)

CVSS-Score: 8,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Aktive Angriffe sind derzeit nicht bekannt, Microsoft bewertet die Ausnutzung jedoch als „eher wahrscheinlich“.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist ein Heap-based Buffer Overflow im Windows-DHCP-Server. Ein nicht authentifizierter Angreifer im benachbarten Netzwerk kann durch ein manipuliertes Paket eine Codeausführung auslösen. Ergänzend hat Microsoft in diesem Monat 13 weitere, jeweils als „wichtig“ eingestufte DHCP-Server-Lücken geschlossen, darunter acht Schwachstellen zur Informationsoffenlegung (CVSS 6,5) und fünf Rechteausweitungen (CVSS 7,8).

AUSNUTZBARKEIT: Der Angriff setzt einen Standort im benachbarten Netzsegment voraus, benötigt aber keine Authentifizierung. Da der DHCP-Server-Dienst üblicherweise auf zentraler Server-Infrastruktur betrieben wird, nicht selten auf einem Domänencontroller, ist die Tragweite erheblich.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf dem DHCP-Server bringt einen zentralen Netzdienst unter die Kontrolle des Angreifers. Von dort aus lässt sich die weitere Ausbreitung im Netzwerk vorbereiten, bis hin zur vollständigen Kompromittierung der Server-Infrastruktur.

WORKAROUND: Patch einspielen und den Zugriff auf den DHCP-Dienst konsequent auf vertrauenswürdige Netzsegmente beschränken.

DRINGLICHKEIT: Hoch.

Weitere kritische Schwachstellen im Überblick

Neben den sechs ausführlich behandelten Lücken lohnt ein Blick auf mehrere weitere kritische Schwachstellen, die alle über das Netzwerk und ohne Authentifizierung angreifbar sind. Die Microsoft QUIC Remote Code Execution (CVE-2026-62815) und die Windows iSCSI Target Service Remote Code Execution (CVE-2026-65791) erreichen ebenfalls jeweils einen CVSS-Score von 9,8. Action1 weist bei der QUIC-Lücke ausdrücklich darauf hin, dass exponierte, verwundbare Dienste ein erhebliches Risiko darstellen, da weder Authentifizierung noch Benutzerinteraktion erforderlich sind. Bei den Active Directory Certificate Services wurde mit CVE-2026-62818 eine kritische RCE geschlossen (CVSS 8,8, Use-after-free), für alle Betreiber einer eigenen PKI ein Pflicht-Patch.

Aufmerksamkeit verdient auch SharePoint. CVE-2026-65665 (CVSS 8,8, Deserialisierung nicht vertrauenswürdiger Daten) ist als „eher wahrscheinlich“ eingestuft. Das wiegt schwer, denn bereits die aktiv ausgenutzte SharePoint-RCE des Vormonats wurde genutzt, um Machine Keys von On-Premises-Servern zu stehlen. Bei Exchange sticht CVE-2026-62911 heraus, eine kritische Rechteausweitung über einen Authentifizierungs-Bypass (CVSS 8,0). Action1 skizziert das Schadenspotenzial drastisch: Aus dem Zugriff auf ein einzelnes Exchange-Konto könne die Kontrolle über sämtliche Postfächer werden, samt E-Mails, Anhängen und vertraulichem Schriftverkehr. Ebenfalls beachtenswert ist eine kritische Office-RCE (CVE-2026-64898, Heap-based Buffer Overflow): Hier genügt bereits die Anzeige einer präparierten Datei im Vorschaufenster (Preview Pane), ein Klick zum Öffnen ist nicht nötig. Hinzu kommen kritische RCEs in der Grafik-Komponente (GDI+, CVE-2026-62822) sowie in der Device Health Attestation (CVE-2026-71331, CVE-2026-66802).

Ein interessanter Sonderfall ist der High Performance Computing (HPC) Pack (CVE-2026-59124): technisch ein CVSS-9,8-Fehler und als „eher wahrscheinlich“ eingestuft, aber nur als „wichtig“ klassifiziert, weil HPC nicht standardmäßig aktiv ist. Wer HPC einsetzt, sollte diese Lücke dennoch nicht auf die lange Bank schieben. Bemerkenswert ist außerdem, dass gleich drei Schwachstellen im AFD.sys-WinSock-Treiber behoben wurden. Der Treiber hat sich zu einem verlässlichen Einfallstor für Rechteausweitungen entwickelt.

Auch abseits von Microsoft war der August ein arbeitsreicher Monat. Die schwerste Lücke überhaupt fand sich bei SAP: eine Autorisierungsschwachstelle im Data Hub Adapter der SAP Commerce Cloud (CVE-2026-58231) mit dem Höchstwert CVSS 10,0. Hinzu kamen weitere kritische SAP-Fixes, darunter eine Code-Injection in Manufacturing Integration and Intelligence (CVE-2026-44772, CVSS 9,9). N-able patchte eine bereits aktiv ausgenutzte Authentifizierungs-Umgehung in N-central, Metabase eine aktiv ausgenutzte SQL-Injection. Dazu kamen Updates von Adobe, Cisco (unter anderem ClamAV), VMware (Avi Load Balancer) und TP-Link (Omada).

Patchmanagement im Zeitalter von KI: Die Spielregeln ändern sich

Der August bestätigt, was sich seit Monaten abzeichnet: Manuelles Patchmanagement „mal eben am Wochenende“ ist endgültig Geschichte. Wenn Microsoft selbst KI einsetzt, um Schwachstellen schneller zu finden, dann tun Angreifer das erst recht. Sie nutzen dieselbe Technologie, um veröffentlichte Patches per Reverse Engineering in kürzester Zeit zu analysieren und passende Exploits zu bauen. Das Zeitfenster zwischen Veröffentlichung und aktiver Ausnutzung schrumpft rasant, wie die AFD.sys-Lücke in diesem Monat einmal mehr zeigt.

Für Organisationen, gerade in der öffentlichen Verwaltung und im KMU-Umfeld, ist ein strukturierter, automatisierter und priorisierter Rollout-Prozess damit keine Kür mehr, sondern überlebenswichtig. Nicht zuletzt die verschärften Anforderungen der NIS-2-Richtlinie machen einen nachweisbaren, dokumentierten Patch-Prozess zur Pflicht.

Handlungsempfehlungen für Ihre IT-Infrastruktur

Priorisieren Sie in diesem Monat zuerst Ihre zentrale Server-Infrastruktur. Die kritischen RCE-Lücken in DNS-Server, DHCP-Server und den Bereitstellungsdiensten betreffen Rollen, die typischerweise auf Ihren Domänencontrollern und zentralen Servern laufen. Ein kompromittierter DC bedeutet den Verlust der gesamten Domäne. Diese Systeme gehören daher an den Anfang jeder Rollout-Welle.

Kümmern Sie sich unmittelbar danach um die aktiv ausgenutzte AFD.sys-Zero-Day-Lücke auf Ihren Clients. Da diese Schwachstelle bereits nachweislich für Angriffe verwendet wird, sollten insbesondere exponierte und risikobehaftete Endgeräte zeitnah abgesichert werden. Ein reines „Später erledigen wir das im normalen Zyklus“ ist bei einer aktiv ausgenutzten Lücke keine vertretbare Option.

Führen Sie den Rollout trotz der Dringlichkeit unbedingt in kontrollierten Wellen durch. Bei über 400 Schwachstellen und dem entsprechend großen Umfang an Codeänderungen ist das Risiko von Kompatibilitätsproblemen erhöht. Testen Sie die Updates zuerst auf einer repräsentativen Gruppe von Testgeräten, bevor Sie sie in der Fläche verteilen. Die Priorisierung nach Kritikalität und die schnelle Verteilung dürfen nicht zu Lasten der Betriebsstabilität gehen.

Verifizieren Sie zuletzt den tatsächlichen Update-Status. Verlassen Sie sich nicht allein auf die Standardanzeige von Windows Update, sondern nutzen Sie professionelle Asset- und Compliance-Werkzeuge, um sicherzustellen, dass die KB-Stände auf allen Systemen lückenlos aktiv sind. Gerade bei den serverseitigen Lücken zählt jeder ungepatchte Host.

Neuerungen abseits der Sicherheit

Neben den reinen Sicherheitsfixes bringt das August-Update auch die Funktionsneuerungen des optionalen Juli-Vorschauupdates in die Fläche und erreicht mit dem Pflichtupdate nun alle Nutzer. Die sichtbarste Änderung betrifft den Datei-Explorer: Dateigrößen werden endlich nicht mehr ausschließlich in Kilobyte angezeigt, sondern je nach Umfang auch in Megabyte und Gigabyte. Zusätzlich lassen sich Ordner jetzt per mittlerer Maustaste direkt als neuer Tab im selben Fenster öffnen, und auch die Dateivorschau wurde überarbeitet.

Darüber hinaus verbessert Microsoft die Windows-Suche, die nun auch bei unklaren oder fehlerhaften Eingaben treffsicherer arbeitet und erstmals Dateinamen mit nur zwei Zeichen unterstützt. Windows Hello Enhanced Sign-in Security (ESS) unterstützt ab sofort kompatible externe Fingerabdruckleser, für Umgebungen mit biometrischer Anmeldung eine praktische Erweiterung. Und die Sprachsteuerung Voice Access erhält mit „Voice Isolation“ eine Funktion, die Hintergrundgeräusche und fremde Stimmen herausfiltert, um Sprachbefehle zuverlässiger zu erkennen. Wie immer bündeln die Updates zudem neue Secure-Boot-Zertifikate, deren Verteilung sich über die kommenden Monate erstreckt.

Exchange Server: ein separates Sicherheitsupdate

Für Exchange Server liefert Microsoft am August-Patchday wie üblich ein eigenständiges Sicherheitsupdate aus, das unabhängig von den kumulativen Windows-Updates eingespielt werden muss. Das August-SU schließt sieben Schwachstellen in Exchange Server, von denen Microsoft genau eine als kritisch einstuft: die bereits erwähnte Rechteausweitung CVE-2026-62911 (CVSS 8,0). Aktiv ausgenutzt wird nach aktuellem Stand keine der sieben Lücken.

Bereitgestellt werden die Updates für Exchange Server 2016, Exchange Server 2019 sowie die Exchange Server Subscription Edition (SE). Exchange Online ist bereits geschützt. Hier besteht kein Handlungsbedarf, abgesehen von der Aktualisierung vorhandener On-Premises-Server und der Workstations mit den Exchange-Verwaltungstools. Wichtig für Bestandsumgebungen: Für Exchange 2016 und 2019 gibt es die Updates ausschließlich über das kostenpflichtige ESU-Programm (Phase 2). Wer dort keine Lizenz gebucht hat, erhält das August-SU nicht und verbleibt sicherheitstechnisch auf dem Stand von Juli 2025, ein weiterer deutlicher Fingerzeig, den Umstieg auf Exchange Server SE einzuplanen.

Für das August-Update selbst sind bislang keine Probleme bekannt. Bestehen bleibt allerdings ein bereits mit dem Juni-SU eingeführtes Verhalten: In Hybrid-Umgebungen können nach dessen Installation sogenannte Wrapper-Nachrichten in Shared Mailboxes auftauchen; Microsoft führt dies weiterhin als bekanntes Problem. Wer eine Hybrid-Konfiguration betreibt, sollte nach der Installation ein Auge darauf haben. Wie bei jedem Exchange-SU gilt außerdem: Das Update über eine administrative Eingabeaufforderung installieren, um unvollständige Installationen durch fehlende Berechtigungen zu vermeiden.

Wer mehrere Exchange-Server betreibt, sollte den Patchday ohnehin zum Anlass nehmen, den Exchange Health Checker laufen zu lassen. Das Skript zeigt neben dem Patchstand auch gleich, ob noch manuelle Schritte offen sind. Seit dem Juli-2026-Update prüft es zusätzlich, ob die längst abgekündigten Sicherheitsgruppen Exchange Domain Servers und Exchange Enterprise Servers noch im Active Directory existieren. Beide stammen aus Zeiten von Exchange 2000/2003, werden seit Exchange 2007 nicht mehr verwendet und liegen in über Jahre gewachsenen Umgebungen häufig noch in der OU „Users“. Das ist ausdrücklich kein reines Aufräumthema: Die Gruppen besitzen im Active Directory teils weitreichende Berechtigungen wie Write All Properties, ListChildren oder vereinzelt WriteDacl auf OUs und Domänenobjekten, deutlich mehr, als die aktuellen Exchange-Sicherheitsgruppen benötigen. Solange sie existieren, sind sie ein lohnendes Angriffsziel: Wer ihre Mitgliedschaft manipulieren kann, erbt diese Altrechte gleich mit. Microsoft empfiehlt daher, die Gruppen zu entfernen, und zwar selbst dann, wenn der letzte On-Premises-Exchange bereits abgebaut wurde.

Update-Pakete für Windows-Clients und -Server

Die folgende Übersicht fasst die kumulativen Updates dieses Patchdays für die noch unterstützten Windows-Versionen zusammen. Alle Pakete sind kumulativ und enthalten sämtliche Sicherheitsfixes bis zum Patchday.

Zu beachten: Windows 10 22H2 ist seit Oktober 2025 aus dem regulären Support gefallen; Sicherheitsupdates gibt es nur noch im Rahmen des ESU-Programms. Für Windows Server 2012/R2 ist ebenfalls eine ESU-Lizenz erforderlich, und Windows Server 23H2 hat den Support im Mai 2026 verlassen.

Ausgewählte kritische Sicherheitsupdates vom Patch Tuesday im August 2026

Die folgende Tabelle listet eine Auswahl der wichtigsten kritischen Schwachstellen dieses Monats. Die vollständige Liste aller rund 400 behobenen CVEs finden Sie im Microsoft Security Update Guide sowie in der Gesamtübersicht bei BleepingComputer.

Hinweis: Diese Tabelle stellt eine kuratierte Auswahl dar und erhebt keinen Anspruch auf Vollständigkeit. Maßgeblich ist stets der offizielle Microsoft Security Update Guide.

Es gibt Patchday-Lücken, die man in Ruhe im nächsten Wartungsfenster einplant. Und es gibt Lücken, bei denen sich die Lage nachträglich ändert. CVE-2026-62911 gehört in die zweite Kategorie.

Die Schwachstelle wurde am 11. August 2026 mit den Exchange-Sicherheitsupdates geschlossen. Microsoft stufte sie zwar als kritisch ein, setzte den Exploit-Status aber auf „Exploitation Less Likely“. Für viele Administratoren war das der Grund, das Update nicht mit höchster Priorität zu behandeln. Ende August ist dann funktionierender Exploit-Code auf GitHub aufgetaucht. Damit ist die Bewertung von Microsoft überholt, und jeder ungepatchte Exchange Server ist ein realistisches Ziel.

Wer noch auf dem Juli-Stand oder älter ist, sollte nicht bis zum September-Patchday warten.

Wie es dazu kam

Der Ablauf erklärt, warum die Einstufung von Microsoft so danebenliegt.

14. bis 16. Mai 2026: Auf der Pwn2Own Berlin demonstriert Orange Tsai vom DEVCORE Research Team eine Kette aus drei Schwachstellen, die zusammen Remote Code Execution mit SYSTEM-Rechten auf einem vollständig gepatchten Exchange Server ergeben. Dafür gibt es 200.000 US-Dollar Preisgeld und 20 Punkte in der Master-of-Pwn-Wertung. Die Organisatoren deuten an, dass das in Redmond für Nachtschichten sorgen dürfte. Details bleiben unter Verschluss, die Meldung läuft über die Zero Day Initiative an Microsoft.

Juni und Juli 2026: Es kommen Exchange-Updates, aber keine Bestätigung, ob der Pwn2Own-Fund damit erledigt ist. In der Community wird spekuliert.

11. August 2026: Das August-SU erscheint und schließt sieben Exchange-CVEs. Im Exchange Team Blog steht dazu die übliche Standardformulierung. Dass CVE-2026-62911 der Pwn2Own-Fund ist, bestätigt das Exchange-Team erst auf Nachfrage im Kommentarbereich der Release-Ankündigung.

Ende August 2026: Ein Sicherheitsforscher veröffentlicht auf GitHub einen Proof of Concept, der die Lücke praktisch nutzbar macht. Der Code ist frei verfügbar. Erfahrungsgemäß dauert es nach so einer Veröffentlichung nicht lange, bis die ersten Massenscans laufen.

Man kennt das Muster von ProxyLogon. Zwischen „theoretisch ausnutzbar“ und „wird flächendeckend gescannt“ liegen bei Exchange üblicherweise Tage, nicht Wochen.

CVE-2026-62911 im Detail

CVSS: 8.0 (Basis) / 7.0 (temporal), CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H

Schwerwiegenkeit: Kritisch (Microsoft-Einstufung), CWE-294 Authentication Bypass by Capture-replay

Bedrohung: Rechteausweitung über einen Authentifizierungs-Bypass in Microsoft Exchange Server

Exploits: Öffentlich verfügbarer Proof of Concept seit Ende August 2026. Microsoft führt die Lücke weiterhin als „Exploitation Less Likely“ mit Exploit Code Maturity „Unproven“. Diese Bewertung stammt vom Veröffentlichungstag und bildet die aktuelle Lage nicht mehr ab. Die ZDI hat Microsoft nach eigener Aussage funktionierenden Exploit-Code übergeben. Aktive Angriffe in freier Wildbahn sind bisher nicht bestätigt, ein Eintrag im CISA-KEV-Katalog liegt noch nicht vor.

Technische Zusammenfassung: Exchange stellt den MailboxReplicationProxyService (MRSProxy) für Postfachverschiebungen über zwei Pfade bereit. Der Pfad unter /EWS/MRSProxy.svc läuft über den IIS und ist durch Extended Protection abgesichert. Der zweite Endpunkt hängt direkt an HTTP.sys und wird von Extended Protection nicht erfasst. Er akzeptiert Negotiate-Authentifizierung, prüft aber die Channel Bindings nicht.

Genau diese Prüfung ist der Kern von Extended Protection. Fehlt sie, lässt sich eine Authentifizierung, die eigentlich für ein anderes Ziel bestimmt war, an diesen Endpunkt weiterreichen. Ein klassischer Relay-Angriff also. Der Dienst behandelt den Angreifer anschließend als das Konto, dessen Authentifizierung weitergereicht wurde.

Kritisch wird es durch eine Berechtigungs-Voreinstellung: Computerkonten besitzen standardmäßig das Recht ms-Exch-EPI-Token-Serialization. Wer die Authentifizierung eines Exchange-Computerkontos weiterreichen kann, erhält damit vollen Zugriff auf den WCF-Dienst. Von dort führt der Weg über eine unzureichend validierte Pfadangabe zu einem Dateischreibvorgang in ein vom IIS ausgeliefertes Verzeichnis. Das Ergebnis ist eine Webshell, die als NT AUTHORITY\SYSTEM läuft.

Ausnutzbarkeit: Hier weicht die offizielle Beschreibung von der Praxis ab. Microsoft spricht im CVE-Text von einem „authorized attacker“ und der Vektor enthält PR:L (niedrige Privilegien) sowie UI:R (Benutzerinteraktion erforderlich). Der veröffentlichte Proof of Concept kommt ohne beides aus: Er nutzt eine unauthentifizierte Coercion-Technik über MS-EFSR, um einen Exchange Server zur Authentifizierung an einem vom Angreifer kontrollierten Endpunkt zu bewegen, und leitet diese dann weiter. Gültige Zugangsdaten braucht es dafür nicht. Voraussetzung ist Netzwerkzugriff auf die betroffenen Dienste sowie eine Umgebung mit mindestens zwei Exchange Servern, weil das Relay-Ziel nicht identisch mit dem auslösenden Server sein kann.

Für die Praxis heißt das: Wer eine Multi-Server-Umgebung betreibt, sollte von einer Vorauthentifizierungslücke ausgehen, nicht von einer Lücke, die einen kompromittierten Benutzeraccount voraussetzt.

Auswirkungen: Nach erfolgreichem Angriff kann auf sämtliche Postfächer der Organisation zugegriffen werden. Mails lesen, Mails im Namen beliebiger Benutzer versenden, Anhänge herunterladen. Über die Webshell mit SYSTEM-Rechten ist der Server selbst kompromittiert, womit auch der Weg ins Active Directory offensteht. Bei einer Exchange-Kompromittierung geht es also nicht um einen Server, sondern um den Vertrauensanker der gesamten Kommunikationsinfrastruktur.

Workaround: Einen offiziellen Workaround von Microsoft gibt es nicht. Wirksam abgesichert ist die Lücke nur durch das August-SU. Risikomindernd wirken eine vorgeschaltete Authentifizierung über einen Reverse Proxy, konsequent aktivierte Extended Protection auf allen dafür vorgesehenen virtuellen Verzeichnissen, das Blockieren der bekannten Coercion-Vektoren auf RPC-Ebene sowie die Einschränkung von NTLM in Richtung Exchange. Keine dieser Maßnahmen ersetzt das Update, sie verschaffen aber Zeit.

Dringlichkeit: Hoch. Sofort patchen, nicht auf das reguläre Wartungsfenster warten.

Die weiteren sechs Lücken aus dem August-SU

Alle sieben Lücken sind über das Netzwerk ansprechbar. CVE-2026-62913 hat mit 8.8 formal den höheren Basiswert als CVE-2026-62911, spielt in der aktuellen Lage aber die kleinere Rolle, weil dafür kein öffentlicher Exploit vorliegt.

Betroffene Versionen und Ziel-Builds

Liegt die Build-Nummer unter dem Wert in der Tabelle, fehlt das August-Update und der Server ist angreifbar.

Exchange Online ist bereits geschützt, hier besteht kein Handlungsbedarf am Dienst selbst. Wer eine Hybrid-Umgebung betreibt, muss die lokalen Server trotzdem aktualisieren.

Management-Tools-Workstations nicht vergessen. Auch Arbeitsplätze, auf denen nur die Exchange-Verwaltungstools installiert sind, brauchen das Update.

Exchange 2013 und älter bekommen keine Updates mehr. Diese Systeme gehören abgeschaltet.

Die ESU-Falle bei Exchange 2016 und 2019

Der unangenehme Teil: Exchange 2016 und 2019 sind seit Oktober 2025 aus dem Support. Das August-SU gibt es für diese Versionen ausschließlich über das kostenpflichtige Extended-Security-Update-Programm der Phase 2. Wer keine ESU-Lizenz gebucht hat, bekommt schlicht keinen Patch für CVE-2026-62911.

Damit nicht genug. Seit dem Juni-Update hat Microsoft serverseitig etwas am Exchange Emergency Mitigation Service geändert. Server, die nicht mindestens auf dem Juni-2026-Stand sind, können keine neuen Mitigations mehr verarbeiten. Der Rettungsanker, mit dem Microsoft in der Vergangenheit auch ungepatchte Systeme kurzfristig absichern konnte, funktioniert bei diesen Servern nicht mehr. Bereits ausgerollte Mitigations laufen weiter, neue kommen nicht mehr an.

Für Behörden und kommunale IT bedeutet das eine klare Entscheidung: entweder ESU lizenzieren oder die Migration auf Exchange Server SE beziehungsweise Exchange Online zügig abschließen. Ein ungepatchter, aus dem Internet erreichbarer Exchange 2016 ist unter NIS2-Gesichtspunkten kaum noch vertretbar. Das BSI hatte bereits im Oktober 2025 auf Zehntausende gefährdete Exchange-Server in Deutschland hingewiesen, und die Zahl dürfte sich seitdem nicht wesentlich verbessert haben.

Was jetzt zu tun ist

1. Aktuellen Stand ermitteln

In der Exchange Management Shell:

Get-Command ExSetup.exe | ForEach-Object {$_.FileVersionInfo}

Der Befehl Get-ExchangeServer | Format-List Name,Edition,AdminDisplayVersion zeigt nur den CU-Stand und nicht das installierte Sicherheitsupdate. Für die Prüfung auf das August-SU taugt er also nicht.

Zuverlässiger ist der Health Checker:

# Download unter https://aka.ms/ExchangeHealthChecker
.\HealthChecker.ps1

Ein korrekt aktualisierter Exchange SE meldet Version: Exchange SE RTM Aug26SU und Build Number: 15.02.2562.046.

2. Update installieren

Aus der Praxis der letzten Wochen haben sich zwei Punkte bewährt. Erstens: zuerst die Windows-Updates einspielen und neu starten, danach das Exchange-SU. Zweitens: Bei Installationsproblemen mit der Meldung „Diese Anwendung konnte nicht gestartet werden“ hilft es, den Virenschutz vorübergehend zu deaktivieren. Für die Installation selbst sollte man je nach Umgebung 20 bis 45 Minuten einplanen.

Nach der Installation Server neu starten, Health Checker erneut laufen lassen und prüfen, ob alle Exchange-Dienste sauber gestartet sind.

3. Extended Protection prüfen

Die Lücke lebt davon, dass ein Endpunkt keine Channel Bindings prüft. Extended Protection sollte deshalb in jeder Umgebung durchgängig aktiv sein, auch wenn es diese konkrete Lücke nicht allein schließt. Der Health Checker weist fehlende Extended Protection aus, für die Konfiguration gibt es das Skript ExchangeExtendedProtectionManagement.ps1 aus dem CSS-Exchange-Repository von Microsoft.

4. OWA Light

Mit diesem SU deaktiviert Microsoft den OWA-Light-Client dauerhaft. Hintergrund ist CVE-2026-62914, und der betroffene Code wird nicht mehr gepflegt. Wer das August-SU aus irgendeinem Grund nicht installieren kann, sollte OWA Light zumindest manuell abschalten:

Set-OwaMailboxPolicy -OwaLightEnabled $false
Set-OwaVirtualDirectory -LogonPageLightSelectionEnabled $false

Das ist keine Absicherung gegen CVE-2026-62911, sondern betrifft ausschließlich die Spoofing-Lücke.

5. Auf Kompromittierung prüfen

Wer erst jetzt patcht, sollte anschließend nachsehen, ob der Server bereits besucht wurde. Sinnvolle Prüfpunkte:

• Neu angelegte oder veränderte .aspx-Dateien in den vom IIS ausgelieferten Exchange-Verzeichnissen, insbesondere unter aspnet_client sowie in den auth-Unterverzeichnissen von OWA und ECP. Ein Abgleich der Dateizeitstempel gegen das Datum der letzten CU- oder SU-Installation findet Auffälligkeiten schnell.
• IIS-Logs auf ungewöhnliche POST-Requests gegen die MRSProxy-Endpunkte, vor allem aus Quellen, die keine Exchange Server sind.
• Prozessbaum: w3wp.exe als Elternprozess von cmd.exe oder powershell.exe ist auf einem Exchange Server praktisch immer ein Befund.
• NTLM-Authentifizierungen von Computerkonten an Exchange-Endpunkten, die nicht zum normalen Betriebsmuster passen.
• Neue oder veränderte lokale Administratorkonten und geplante Aufgaben auf dem Exchange Server.

Bei einem Treffer gilt die übliche Regel: Der Server ist nicht mehr vertrauenswürdig. Incident-Response-Prozess starten, nicht einfach die Webshell löschen und weitermachen.

6. Bekannte Probleme im Blick behalten

Für das August-SU selbst sind bisher keine eigenen Probleme bekannt. Der Punkt aus dem Juni besteht aber weiter: In Hybrid-Umgebungen können nach der Installation sogenannte Wrapper-Nachrichten in Shared Mailboxes auftauchen. Microsoft dokumentiert das unter KB5105719. Zusätzlich nennt der KB-Artikel zum SU Probleme mit veröffentlichten Kalendern (HTTP 500 bei ICS-Abrufen) und mit der Frei/Gebucht-Abfrage delegierter Postfächer in reinen Graph-Hybrid-Konfigurationen.

Einordnung

Zwei Dinge nimmt man aus diesem Fall mit.

Das eine ist die Frage, wie belastbar Herstellerbewertungen bei der Priorisierung sind. „Exploitation Less Likely“ hat hier viele Administratoren in eine falsche Sicherheit gewiegt, obwohl die Lücke drei Monate zuvor auf einer öffentlichen Bühne als Teil einer vollständigen Server-Übernahme demonstriert worden war. Diese Information stand jedem zur Verfügung. Wer ausschließlich auf das Exploitability Assessment im Update Guide schaut, verliert Zeit, die man bei internetseitig erreichbaren Diensten nicht hat. Der Kontext einer Lücke gehört genauso in die Bewertung wie der CVSS-Wert.

Das andere ist die Kommunikation. Dass der Pwn2Own-Fund im Exchange Team Blog keine eigene Erwähnung fand und erst auf Nachfrage im Kommentarbereich bestätigt wurde, macht Administratoren die Arbeit unnötig schwer. Wer den Zusammenhang zwischen der Mai-Demonstration und CVE-2026-62911 nicht selbst hergestellt hat, konnte die Dringlichkeit aus den offiziellen Quellen kaum ableiten.

Und der Rest bleibt, wie er ist: Ein lokaler Exchange Server ist eine dauerhafte Betriebsaufgabe. Wer ihn betreibt, braucht ein Patchfenster, das innerhalb von Tagen greift, und keines, das im Quartalsplan steht.

Nach dem Rekordmonat Juli, in dem Microsoft rund 570 Schwachstellen stopfen musste, fällt der August-Patchday auf den ersten Blick etwas kleiner aus. Doch „kleiner“ ist relativ: Mit über 400 behobenen Sicherheitslücken bewegt sich auch dieser Monat auf einem Niveau, das noch vor zwei Jahren als absoluter Ausnahmefall gegolten hätte. Dreistellige und mittlerweile fast vierstellige Patch-Zahlen sind zum Dauerzustand geworden.

Der Grund dafür ist strukturell und wird sich nicht mehr umkehren. Microsoft setzt inzwischen selbst auf KI-gestützte Systeme zur automatisierten Schwachstellensuche und hat angekündigt, dass genau das die Zahl der monatlichen Sicherheitsupdates dauerhaft nach oben treibt. Was der Codequalität langfristig guttut, bedeutet für Administratoren kurzfristig einen dauerhaft hohen Testaufwand.

Der eigentliche Unterschied zum Juli ist aber nicht die Menge, sondern die Brisanz einer einzelnen Lücke: Diesen Monat gibt es wieder einen Zero-Day, der bereits aktiv ausgenutzt wird, und zwar von einem staatlichen Akteur. Dieser Überblick zeigt, wo die Gefahr derzeit am größten ist und in welcher Reihenfolge Sie Ihre Systeme absichern sollten.

Die nackten Zahlen im Überblick

Bei den Gesamtzahlen lohnt ein genauer Blick, denn sie schwanken je nach Quelle erheblich. Microsoft selbst weist in seiner offiziellen Release-Note 421 Schwachstellen aus. Sicherheitsdienstleister wie Tenable kommen nach Abzug bestimmter Cloud- und Sonderfälle hingegen auf rund 398. Das ist eine reine Frage der Zählweise, die in den kommenden Tagen für unterschiedliche Zahlen in der Berichterstattung sorgen wird. Von diesen Lücken gelten 42 als kritisch, der ganz überwiegende Teil (355) als wichtig, eine einzelne als moderat. Innerhalb der kritischen Lücken dominiert erwartungsgemäß die Remotecodeausführung mit 37 Einträgen, hinzu kommen fünf kritische Rechteausweitungen. Für die Rollout-Planung hilfreich ist die Aufteilung nach Produkten: Allein 236 der Lücken entfallen auf Windows 11 und werden über das kumulative Update abgedeckt, weitere 98 auf Office (separate Office-Updates), gefolgt von SharePoint Server mit 30 und den Developer Tools mit 26.

Über alle Kategorien hinweg verteilen sich die Schwachstellen grob wie folgt: rund 176 Rechteausweitungen (Elevation of Privilege), etwa 110 Remotecodeausführungen (RCE), rund 86 Fälle von Informationsoffenlegung, 21 Spoofing-Lücken, 12 Denial-of-Service-Schwachstellen und 11 Umgehungen von Sicherheitsfunktionen. Besonders relevant sind in diesem Monat gleich drei Zero-Days: Eine davon wird bereits aktiv angegriffen, zwei weitere waren vor der Bereitstellung des Patches öffentlich bekannt.

Die kritischsten Brennpunkte im Detail

Wer diesen Patch-Zyklus überspringen möchte, sollte sich die folgende Liste genau ansehen. Mehrere Lücken betreffen zentrale Server-Rollen, die in praktisch jeder Windows-Domäne laufen: DNS-Server, DHCP und die Bereitstellungsdienste. Es folgt die detaillierte technische Aufarbeitung der wichtigsten Patches dieses Monats.

1. AFD.sys WinSock Elevation of Privilege (CVE-2026-68820)

CVSS-Score: 7,0

SCHWERWIEGENDKEIT: Hoch (aktiv ausgenutzt)

BEDROHUNG: Elevation of Privilege (Lokale Rechteausweitung auf SYSTEM)

EXPLOITS: Dies ist die einzige nachweislich aktiv ausgenutzte Schwachstelle dieses Monats und damit der wichtigste Patch überhaupt. Entdeckt und an Microsoft gemeldet wurde die Lücke von den Check-Point-Forschern Moshe Marelus und David Driker. Laut deren Analyse wurde sie im Rahmen gezielter Angriffe von der nordkoreanischen Lazarus-Gruppe eingesetzt, um über gefälschte Stellenangebote eine neue Variante des Kernel-Rootkits FudModule einzuschleusen. Auch Action1 stuft diese Schwachstelle als die mit Abstand wichtigste des gesamten Monats ein, schlicht weil die Ausnutzung bereits nachgewiesen ist. Kurios am Rande: Im CVSS-Vektor stuft Microsoft die Exploit-Reife formal als „unproven“ ein, benennt die Lücke gleichzeitig aber als aktiv ausgenutzt. Diesen Widerspruch hat unter anderem die Zero Day Initiative süffisant angemerkt.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle liegt im Ancillary Function Driver for WinSock (afd.sys), jenem Kernel-Treiber, der die Socket-Infrastruktur von Windows bereitstellt. Es handelt sich um einen Use-after-free-Fehler: Ein Speicherobjekt wird freigegeben und anschließend erneut referenziert. Ein lokal angemeldeter Angreifer mit niedrigen Rechten kann über eine speziell präparierte Anwendung eine Race Condition auslösen und diesen Zustand ausnutzen, um eigenen Code im Kontext des Kernels und damit mit SYSTEM-Rechten auszuführen. Eine Benutzerinteraktion ist nicht erforderlich.

AUSNUTZBARKEIT: Der Angriff setzt lokalen Zugriff und ein niedrig privilegiertes Konto voraus. Die Angriffskomplexität gilt als hoch, da der Angreifer das enge Zeitfenster der Race Condition treffen muss. Für einen staatlich unterstützten Akteur wie Lazarus ist das keine ernsthafte Hürde. Da afd.sys auf praktisch jedem Windows-System aktiv ist, ist die Angriffsfläche entsprechend groß.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Diese Lücke ist der klassische zweite Baustein einer Angriffskette. Nach dem initialen Zugang, etwa über ein manipuliertes Bewerbungsdokument, hebelt der Angreifer die Rechtetrennung des Systems aus und erlangt volle SYSTEM-Rechte. Mit dem nachgeladenen FudModule-Rootkit lassen sich anschließend Endpoint-Protection und Virenschutz blenden, Treiber manipulieren und dauerhafte, schwer auffindbare Persistenz verankern. Für Kommunen und KRITIS-nahe Einrichtungen ist der spionagegetriebene Hintergrund besonders brisant.

WORKAROUND: Einen sinnvollen technischen Workaround gibt es nicht; hier hilft nur das Einspielen des Updates. Flankierend sollte das EDR-System so konfiguriert werden, dass es verdächtige Kernel-Manipulationen und ungewöhnliche Kindprozesse erkennt. Ein konsequentes Least-Privilege-Prinzip und Application Control (zur Abwehr präparierter Dokumente aus Fake-Bewerbungen) senken das Restrisiko zusätzlich.

DRINGLICHKEIT: Höchste. Als einzige aktiv ausgenutzte Lücke des Monats gehört dieser Patch mit oberster Priorität auf alle Systeme, zuerst auf exponierte und besonders gefährdete Clients.

2. Windows User Profile Service – „LegacyHive“ (CVE-2026-62832)

CVSS-Score: 7,8

SCHWERWIEGENDKEIT: Hoch

BEDROHUNG: Elevation of Privilege (Rechteausweitung auf Administrator)

EXPLOITS: Die Schwachstelle war bereits vor Verfügbarkeit des Patches öffentlich bekannt. Sie entspricht dem als „LegacyHive“ veröffentlichten Proof-of-Concept des Sicherheitsforschers Nightmare Eclipse, also derselben Quelle, die bereits im Juni mit ihren BitLocker- und GreenPlasma-Veröffentlichungen für Aufsehen gesorgt hatte. Microsoft stuft die Ausnutzung als „eher wahrscheinlich“ ein.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist eine fehlerhafte Link-Auflösung (Improper Link Resolution / Link Following) im Windows-Benutzerprofildienst. Ein authentifizierter Angreifer, der über Zugangsdaten für ein anderes lokales Konto verfügt, kann mit einer präparierten Anwendung erzwingen, dass die Registry-Hive eines anderen Benutzers geladen wird. Über symbolische Verknüpfungen wird der Dienst dabei auf geschützte Pfade umgelenkt. Meldet sich anschließend ein Administrator an dem kompromittierten Gerät an, lassen sich auf diesem Weg Befehle mit dessen Rechten ausführen.

AUSNUTZBARKEIT: Erforderlich ist ein lokaler, authentifizierter Zugriff. Besonders relevant ist die Lücke auf Mehrbenutzer-Systemen wie Terminalservern, Citrix-Umgebungen oder geteilten Arbeitsplätzen, auf denen ohnehin mehrere Benutzerkonten existieren.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Aus einem gewöhnlichen Standardbenutzer wird ein Administrator. In Kombination mit einer Phishing-Mail ergibt sich eine zuverlässige Rechteausweitung: Sobald der Angreifer einen Fuß in der Tür hat, kann er Virenschutz deaktivieren, Anmeldedaten aus dem LSASS-Speicher auslesen und sich lateral im Netzwerk ausbreiten.

WORKAROUND: Primär gilt: patchen. Flankierend helfen ein striktes Least-Privilege-Prinzip, der Verzicht auf gemeinsam genutzte Konten sowie ein Monitoring auf das ungewöhnliche Laden fremder Registry-Hives.

DRINGLICHKEIT: Hoch. Öffentlich bekannter PoC, von Microsoft als „eher wahrscheinlich“ eingestuft.

3. Container Isolation FS Filter Driver (CVE-2026-72971)

CVSS-Score: 5,5

SCHWERWIEGENDKEIT: Hoch (öffentlich bekannt)

BEDROHUNG: Tampering (Lokale Manipulation)

EXPLOITS: Auch diese Lücke wurde vor Verfügbarkeit des Patches öffentlich bekannt; Microsoft schreibt die Entdeckung den Forschern „yhw & txz“ zu. Anders als bei den beiden vorgenannten Zero-Days stuft Microsoft die Ausnutzung hier als „unwahrscheinlich“ ein.

TECHNISCHE ZUSAMMENFASSUNG: Betroffen ist der Container Isolation FS Filter Driver (unionfs.sys), der das Overlay-Dateisystem für Windows-Container bereitstellt. Erneut liegt die Ursache in einer fehlerhaften Link-Auflösung: Über Link-Following lässt sich die Dateizugriffslogik des Treibers umlenken und für Manipulationen missbrauchen.

AUSNUTZBARKEIT: Der Angriff erfordert lokalen, authentifizierten Zugriff und ist praktisch nur auf Hosts relevant, die tatsächlich Windows-Container betreiben. Für reine Client-Arbeitsplätze ohne Container-Workloads ist das Risiko gering.

AUSWIRKUNGEN AUF DAS GESCHÄFT: In Container-Umgebungen kann die Lücke als Baustein dienen, um Dateien zu manipulieren oder Isolationsgrenzen aufzuweichen. Wo keine Container zum Einsatz kommen, ist die Angriffsfläche jedoch nicht gegeben.

WORKAROUND: Patch einspielen, insbesondere auf Container-Hosts. Umgebungen ohne Container haben hier keinen akuten Handlungsdruck.

DRINGLICHKEIT: Mittel. Öffentlich bekannt, aber als „unwahrscheinlich“ eingestuft und mit stark begrenzter Angriffsfläche.

4. Windows DNS Server Remote Code Execution (CVE-2026-62878)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / wurmfähig)

EXPLOITS: Bislang wurden weder aktive Angriffe noch eine öffentliche Veröffentlichung beobachtet, und Microsoft bewertet die Ausnutzung offiziell als „unwahrscheinlich“. Die Zero Day Initiative hält diese Einschätzung allerdings für zu optimistisch, da die Lücke wurmfähig ist. In diesem Monat wurden gleich mehrere DNS-Server-RCEs geschlossen, darunter CVE-2026-62817 (Out-of-Bounds-Write, CVSS 8,8) und CVE-2026-62820 (Race Condition, CVSS 8,1). CVE-2026-62878 ist aber mit Abstand die schwerste.

TECHNISCHE ZUSAMMENFASSUNG: Es handelt sich um einen Stack-based Buffer Overflow im Windows-DNS-Server. Ein nicht authentifizierter Angreifer kann durch ein speziell präpariertes Paket an den DNS-Dienst Code mit erhöhten Rechten ausführen, ohne jede Benutzerinteraktion.

AUSNUTZBARKEIT: Der Angriff erfolgt netzwerkbasiert, ohne Anmeldung und ohne Interaktion. Entscheidend für die Tragweite: Der Windows-DNS-Server läuft in aller Regel auf den Domänencontrollern. Eine erfolgreiche Ausnutzung trifft damit direkt das Herz des Active Directory.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf einem Domänencontroller ist der Worst Case. Der Angreifer kontrolliert damit sowohl die Namensauflösung als auch das Verzeichnis selbst und kann sich praktisch beliebig domänenweit ausbreiten. Durch die Wurmfähigkeit besteht zudem die Gefahr, dass ein einmal entwickelter Exploit sich selbstständig von System zu System weiterträgt.

WORKAROUND: Höchste Priorität beim Patchen der Domänencontroller und DNS-Server. Der DNS-Dienst sollte niemals unnötig aus dem Internet erreichbar sein, und auch die interne Exposition sollte über Segmentierung so weit wie möglich reduziert werden.

DRINGLICHKEIT: Kritisch. Domänencontroller zuerst patchen.

5. Windows Deployment Services TFTP Server RCE (CVE-2026-62893)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Aktive Angriffe sind bislang nicht bekannt, allerdings stuft Microsoft die Ausnutzung als „eher wahrscheinlich“ ein. Sowohl Action1 als auch die Zero Day Initiative heben diese Lücke ausdrücklich als besonders beachtenswert hervor.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle ist ein Use-after-free-Fehler im TFTP-Server-Bestandteil der Windows-Bereitstellungsdienste (Windows Deployment Services, WDS). Ein nicht authentifizierter Angreifer kann durch präparierte Pakete an den TFTP-/WDS-Dienst eine Codeausführung auf dem Server auslösen.

AUSNUTZBARKEIT: Der Angriff erfolgt netzwerkbasiert und ohne Authentifizierung. Betroffen sind Umgebungen, die WDS für PXE-Boot und die automatisierte Betriebssystem-Bereitstellung einsetzen, in der öffentlichen Verwaltung und in größeren Domänen keineswegs selten.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf dem Deployment-Server ist deshalb so gefährlich, weil dieser Server Betriebssystem-Images an neue Clients verteilt. Ein kompromittierter WDS-Server eignet sich hervorragend für eine flächendeckende Kompromittierung, gewissermaßen eine Supply-Chain-Attacke innerhalb des eigenen OS-Rollouts.

WORKAROUND: Patch einspielen. Der WDS-/TFTP-Dienst sollte nicht exponiert werden; PXE-Netzsegmente gehören isoliert. Wird WDS nicht benötigt, sollte der Dienst deaktiviert werden.

DRINGLICHKEIT: Hoch bis kritisch, insbesondere überall dort, wo WDS aktiv im Einsatz ist.

6. Windows DHCP Server Remote Code Execution (CVE-2026-62823)

CVSS-Score: 8,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Aktive Angriffe sind derzeit nicht bekannt, Microsoft bewertet die Ausnutzung jedoch als „eher wahrscheinlich“.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist ein Heap-based Buffer Overflow im Windows-DHCP-Server. Ein nicht authentifizierter Angreifer im benachbarten Netzwerk kann durch ein manipuliertes Paket eine Codeausführung auslösen. Ergänzend hat Microsoft in diesem Monat 13 weitere, jeweils als „wichtig“ eingestufte DHCP-Server-Lücken geschlossen, darunter acht Schwachstellen zur Informationsoffenlegung (CVSS 6,5) und fünf Rechteausweitungen (CVSS 7,8).

AUSNUTZBARKEIT: Der Angriff setzt einen Standort im benachbarten Netzsegment voraus, benötigt aber keine Authentifizierung. Da der DHCP-Server-Dienst üblicherweise auf zentraler Server-Infrastruktur betrieben wird, nicht selten auf einem Domänencontroller, ist die Tragweite erheblich.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf dem DHCP-Server bringt einen zentralen Netzdienst unter die Kontrolle des Angreifers. Von dort aus lässt sich die weitere Ausbreitung im Netzwerk vorbereiten, bis hin zur vollständigen Kompromittierung der Server-Infrastruktur.

WORKAROUND: Patch einspielen und den Zugriff auf den DHCP-Dienst konsequent auf vertrauenswürdige Netzsegmente beschränken.

DRINGLICHKEIT: Hoch.

Weitere kritische Schwachstellen im Überblick

Neben den sechs ausführlich behandelten Lücken lohnt ein Blick auf mehrere weitere kritische Schwachstellen, die alle über das Netzwerk und ohne Authentifizierung angreifbar sind. Die Microsoft QUIC Remote Code Execution (CVE-2026-62815) und die Windows iSCSI Target Service Remote Code Execution (CVE-2026-65791) erreichen ebenfalls jeweils einen CVSS-Score von 9,8. Action1 weist bei der QUIC-Lücke ausdrücklich darauf hin, dass exponierte, verwundbare Dienste ein erhebliches Risiko darstellen, da weder Authentifizierung noch Benutzerinteraktion erforderlich sind. Bei den Active Directory Certificate Services wurde mit CVE-2026-62818 eine kritische RCE geschlossen (CVSS 8,8, Use-after-free), für alle Betreiber einer eigenen PKI ein Pflicht-Patch.

Aufmerksamkeit verdient auch SharePoint. CVE-2026-65665 (CVSS 8,8, Deserialisierung nicht vertrauenswürdiger Daten) ist als „eher wahrscheinlich“ eingestuft. Das wiegt schwer, denn bereits die aktiv ausgenutzte SharePoint-RCE des Vormonats wurde genutzt, um Machine Keys von On-Premises-Servern zu stehlen. Bei Exchange sticht CVE-2026-62911 heraus, eine kritische Rechteausweitung über einen Authentifizierungs-Bypass (CVSS 8,0). Action1 skizziert das Schadenspotenzial drastisch: Aus dem Zugriff auf ein einzelnes Exchange-Konto könne die Kontrolle über sämtliche Postfächer werden, samt E-Mails, Anhängen und vertraulichem Schriftverkehr. Ebenfalls beachtenswert ist eine kritische Office-RCE (CVE-2026-64898, Heap-based Buffer Overflow): Hier genügt bereits die Anzeige einer präparierten Datei im Vorschaufenster (Preview Pane), ein Klick zum Öffnen ist nicht nötig. Hinzu kommen kritische RCEs in der Grafik-Komponente (GDI+, CVE-2026-62822) sowie in der Device Health Attestation (CVE-2026-71331, CVE-2026-66802).

Ein interessanter Sonderfall ist der High Performance Computing (HPC) Pack (CVE-2026-59124): technisch ein CVSS-9,8-Fehler und als „eher wahrscheinlich“ eingestuft, aber nur als „wichtig“ klassifiziert, weil HPC nicht standardmäßig aktiv ist. Wer HPC einsetzt, sollte diese Lücke dennoch nicht auf die lange Bank schieben. Bemerkenswert ist außerdem, dass gleich drei Schwachstellen im AFD.sys-WinSock-Treiber behoben wurden. Der Treiber hat sich zu einem verlässlichen Einfallstor für Rechteausweitungen entwickelt.

Auch abseits von Microsoft war der August ein arbeitsreicher Monat. Die schwerste Lücke überhaupt fand sich bei SAP: eine Autorisierungsschwachstelle im Data Hub Adapter der SAP Commerce Cloud (CVE-2026-58231) mit dem Höchstwert CVSS 10,0. Hinzu kamen weitere kritische SAP-Fixes, darunter eine Code-Injection in Manufacturing Integration and Intelligence (CVE-2026-44772, CVSS 9,9). N-able patchte eine bereits aktiv ausgenutzte Authentifizierungs-Umgehung in N-central, Metabase eine aktiv ausgenutzte SQL-Injection. Dazu kamen Updates von Adobe, Cisco (unter anderem ClamAV), VMware (Avi Load Balancer) und TP-Link (Omada).

Patchmanagement im Zeitalter von KI: Die Spielregeln ändern sich

Der August bestätigt, was sich seit Monaten abzeichnet: Manuelles Patchmanagement „mal eben am Wochenende“ ist endgültig Geschichte. Wenn Microsoft selbst KI einsetzt, um Schwachstellen schneller zu finden, dann tun Angreifer das erst recht. Sie nutzen dieselbe Technologie, um veröffentlichte Patches per Reverse Engineering in kürzester Zeit zu analysieren und passende Exploits zu bauen. Das Zeitfenster zwischen Veröffentlichung und aktiver Ausnutzung schrumpft rasant, wie die AFD.sys-Lücke in diesem Monat einmal mehr zeigt.

Für Organisationen, gerade in der öffentlichen Verwaltung und im KMU-Umfeld, ist ein strukturierter, automatisierter und priorisierter Rollout-Prozess damit keine Kür mehr, sondern überlebenswichtig. Nicht zuletzt die verschärften Anforderungen der NIS-2-Richtlinie machen einen nachweisbaren, dokumentierten Patch-Prozess zur Pflicht.

Handlungsempfehlungen für Ihre IT-Infrastruktur

Priorisieren Sie in diesem Monat zuerst Ihre zentrale Server-Infrastruktur. Die kritischen RCE-Lücken in DNS-Server, DHCP-Server und den Bereitstellungsdiensten betreffen Rollen, die typischerweise auf Ihren Domänencontrollern und zentralen Servern laufen. Ein kompromittierter DC bedeutet den Verlust der gesamten Domäne. Diese Systeme gehören daher an den Anfang jeder Rollout-Welle.

Kümmern Sie sich unmittelbar danach um die aktiv ausgenutzte AFD.sys-Zero-Day-Lücke auf Ihren Clients. Da diese Schwachstelle bereits nachweislich für Angriffe verwendet wird, sollten insbesondere exponierte und risikobehaftete Endgeräte zeitnah abgesichert werden. Ein reines „Später erledigen wir das im normalen Zyklus“ ist bei einer aktiv ausgenutzten Lücke keine vertretbare Option.

Führen Sie den Rollout trotz der Dringlichkeit unbedingt in kontrollierten Wellen durch. Bei über 400 Schwachstellen und dem entsprechend großen Umfang an Codeänderungen ist das Risiko von Kompatibilitätsproblemen erhöht. Testen Sie die Updates zuerst auf einer repräsentativen Gruppe von Testgeräten, bevor Sie sie in der Fläche verteilen. Die Priorisierung nach Kritikalität und die schnelle Verteilung dürfen nicht zu Lasten der Betriebsstabilität gehen.

Verifizieren Sie zuletzt den tatsächlichen Update-Status. Verlassen Sie sich nicht allein auf die Standardanzeige von Windows Update, sondern nutzen Sie professionelle Asset- und Compliance-Werkzeuge, um sicherzustellen, dass die KB-Stände auf allen Systemen lückenlos aktiv sind. Gerade bei den serverseitigen Lücken zählt jeder ungepatchte Host.

Neuerungen abseits der Sicherheit

Neben den reinen Sicherheitsfixes bringt das August-Update auch die Funktionsneuerungen des optionalen Juli-Vorschauupdates in die Fläche und erreicht mit dem Pflichtupdate nun alle Nutzer. Die sichtbarste Änderung betrifft den Datei-Explorer: Dateigrößen werden endlich nicht mehr ausschließlich in Kilobyte angezeigt, sondern je nach Umfang auch in Megabyte und Gigabyte. Zusätzlich lassen sich Ordner jetzt per mittlerer Maustaste direkt als neuer Tab im selben Fenster öffnen, und auch die Dateivorschau wurde überarbeitet.

Darüber hinaus verbessert Microsoft die Windows-Suche, die nun auch bei unklaren oder fehlerhaften Eingaben treffsicherer arbeitet und erstmals Dateinamen mit nur zwei Zeichen unterstützt. Windows Hello Enhanced Sign-in Security (ESS) unterstützt ab sofort kompatible externe Fingerabdruckleser, für Umgebungen mit biometrischer Anmeldung eine praktische Erweiterung. Und die Sprachsteuerung Voice Access erhält mit „Voice Isolation“ eine Funktion, die Hintergrundgeräusche und fremde Stimmen herausfiltert, um Sprachbefehle zuverlässiger zu erkennen. Wie immer bündeln die Updates zudem neue Secure-Boot-Zertifikate, deren Verteilung sich über die kommenden Monate erstreckt.

Exchange Server: ein separates Sicherheitsupdate

Für Exchange Server liefert Microsoft am August-Patchday wie üblich ein eigenständiges Sicherheitsupdate aus, das unabhängig von den kumulativen Windows-Updates eingespielt werden muss. Das August-SU schließt sieben Schwachstellen in Exchange Server, von denen Microsoft genau eine als kritisch einstuft: die bereits erwähnte Rechteausweitung CVE-2026-62911 (CVSS 8,0). Aktiv ausgenutzt wird nach aktuellem Stand keine der sieben Lücken.

Bereitgestellt werden die Updates für Exchange Server 2016, Exchange Server 2019 sowie die Exchange Server Subscription Edition (SE). Exchange Online ist bereits geschützt. Hier besteht kein Handlungsbedarf, abgesehen von der Aktualisierung vorhandener On-Premises-Server und der Workstations mit den Exchange-Verwaltungstools. Wichtig für Bestandsumgebungen: Für Exchange 2016 und 2019 gibt es die Updates ausschließlich über das kostenpflichtige ESU-Programm (Phase 2). Wer dort keine Lizenz gebucht hat, erhält das August-SU nicht und verbleibt sicherheitstechnisch auf dem Stand von Juli 2025, ein weiterer deutlicher Fingerzeig, den Umstieg auf Exchange Server SE einzuplanen.

Für das August-Update selbst sind bislang keine Probleme bekannt. Bestehen bleibt allerdings ein bereits mit dem Juni-SU eingeführtes Verhalten: In Hybrid-Umgebungen können nach dessen Installation sogenannte Wrapper-Nachrichten in Shared Mailboxes auftauchen; Microsoft führt dies weiterhin als bekanntes Problem. Wer eine Hybrid-Konfiguration betreibt, sollte nach der Installation ein Auge darauf haben. Wie bei jedem Exchange-SU gilt außerdem: Das Update über eine administrative Eingabeaufforderung installieren, um unvollständige Installationen durch fehlende Berechtigungen zu vermeiden.

Wer mehrere Exchange-Server betreibt, sollte den Patchday ohnehin zum Anlass nehmen, den Exchange Health Checker laufen zu lassen. Das Skript zeigt neben dem Patchstand auch gleich, ob noch manuelle Schritte offen sind. Seit dem Juli-2026-Update prüft es zusätzlich, ob die längst abgekündigten Sicherheitsgruppen Exchange Domain Servers und Exchange Enterprise Servers noch im Active Directory existieren. Beide stammen aus Zeiten von Exchange 2000/2003, werden seit Exchange 2007 nicht mehr verwendet und liegen in über Jahre gewachsenen Umgebungen häufig noch in der OU „Users“. Das ist ausdrücklich kein reines Aufräumthema: Die Gruppen besitzen im Active Directory teils weitreichende Berechtigungen wie Write All Properties, ListChildren oder vereinzelt WriteDacl auf OUs und Domänenobjekten, deutlich mehr, als die aktuellen Exchange-Sicherheitsgruppen benötigen. Solange sie existieren, sind sie ein lohnendes Angriffsziel: Wer ihre Mitgliedschaft manipulieren kann, erbt diese Altrechte gleich mit. Microsoft empfiehlt daher, die Gruppen zu entfernen, und zwar selbst dann, wenn der letzte On-Premises-Exchange bereits abgebaut wurde.

Update-Pakete für Windows-Clients und -Server

Die folgende Übersicht fasst die kumulativen Updates dieses Patchdays für die noch unterstützten Windows-Versionen zusammen. Alle Pakete sind kumulativ und enthalten sämtliche Sicherheitsfixes bis zum Patchday.

Zu beachten: Windows 10 22H2 ist seit Oktober 2025 aus dem regulären Support gefallen; Sicherheitsupdates gibt es nur noch im Rahmen des ESU-Programms. Für Windows Server 2012/R2 ist ebenfalls eine ESU-Lizenz erforderlich, und Windows Server 23H2 hat den Support im Mai 2026 verlassen.

Ausgewählte kritische Sicherheitsupdates vom Patch Tuesday im August 2026

Die folgende Tabelle listet eine Auswahl der wichtigsten kritischen Schwachstellen dieses Monats. Die vollständige Liste aller rund 400 behobenen CVEs finden Sie im Microsoft Security Update Guide sowie in der Gesamtübersicht bei BleepingComputer.

Hinweis: Diese Tabelle stellt eine kuratierte Auswahl dar und erhebt keinen Anspruch auf Vollständigkeit. Maßgeblich ist stets der offizielle Microsoft Security Update Guide.

Exchange Server Update Mai 2026: Warum Sie jetzt handeln müssen

E-Mail-Server sind das Rückgrat fast jeder Firma. Aber genau deshalb sind sie auch das Lieblingsziel von Angreifern. Wenn Microsoft am Patchday ein neues Exchange Server Update veröffentlicht, ist das für IT-Admins oft der Startschuss für eine Nachtschicht. Im Mai 2026 geht es aber um mehr als nur das Schließen einer Sicherheitslücke. Es ist der Beginn einer architektonischen Zeitenwende für alle, die Exchange betreiben – egal ob in der Cloud oder im eigenen Keller.

Ich weiß, dass Updates oft Stress bedeuten. Man hat Angst, dass nach dem Neustart die Dienste nicht hochfahren oder die Datenbanken streiken. Aber die Alternative – ein gehacktes System oder eine kaputte Hybrid-Anbindung – ist weitaus schlimmer. In diesem Artikel schauen wir uns an, was im aktuellen Hotfix steckt, warum das Ende von EWS (Exchange Web Services) Ihre Planung dominieren wird und was das alles für reine On-Prem-Umgebungen bedeutet.

Was ist neu im Exchange Server Update vom Mai 2026?

Das aktuelle Update ist ein sogenanntes Hotfix Update (HU). Im Gegensatz zu den großen Cumulative Updates (CU) konzentriert sich ein HU gezielt auf zwei Bereiche: Sicherheitskorrekturen und die Vorbereitung auf die Zukunft der Cloud-Konnektivität.

1. Die Sicherheitslücke (EoP)

Im Fokus steht die Behebung einer „Elevation of Privilege“ (EoP) Schwachstelle. Angreifer könnten diese Lücke nutzen, um sich höhere Rechte auf Ihrem Server zu verschaffen. Wenn jemand erst einmal Admin-Rechte auf dem Exchange hat, gehört ihm praktisch das gesamte Active Directory. Das Update schließt diese Lücke und sorgt dafür, dass Ihr System wieder den aktuellen Sicherheitsstandards entspricht.

2. Der Wechsel zu Microsoft Graph (Der „Gamechanger“)

Das ist der Punkt, der viele Hybrid-Admins kalt erwischen könnte. Das Mai 2026 Update enthält die Funktionalität, um die sogenannte „Rich Coexistence“ (Frei/Gebucht-Zeiten, MailTips, Profilbilder) von EWS auf die REST-basierte Microsoft Graph API umzustellen. Microsoft schaltet EWS in der Cloud bald ab. Wer jetzt nicht handelt, wird im April 2027 feststellen, dass die Zusammenarbeit zwischen lokalem Server und Cloud plötzlich nicht mehr funktioniert.

Entwarnung für „Pure On-Prem“: Was, wenn ich keine Cloud nutze?

Ich höre oft von Admins: „Wir nutzen kein Entra ID, kein M365 und kein Azure. Was geht mich diese Graph-Migration an?“

Die kurze Antwort: Technisch gesehen betrifft Sie die Graph-Migration für „Rich Coexistence“ nicht.

Wenn Ihr Exchange Server eine Insel ist, die nur interne Postfächer bedient und keine Verbindung zu Exchange Online hält, müssen Sie keinen PowerShell-Befehl für Graph absetzen. Microsoft Graph ist eine Cloud-API. Ohne Cloud-Anbindung gibt es für Ihren Server nichts, wohin er „graphen“ könnte.

Aber (und das ist ein großes Aber):

• Die Sicherheitslücke bleibt: Die EoP-Schwachstelle ist für jeden Exchange Server gefährlich, der im Netz hängt. Der Patch ist für Sie also genauso überlebenswichtig wie für Hybrid-Kunden.
• Support-Ende von 2016/2019: Auch ohne Cloud-Pläne müssen Sie sich mit der Exchange Server Subscription Edition (SE) beschäftigen. Exchange 2016 und 2019 nähern sich dem Ende ihres Lebenszyklus. Wer weiterhin Sicherheitsupdates erhalten möchte, kommt um den Wechsel auf die SE-Version nicht herum.
• Interne Applikationen: Viele Ihrer internen Tools (Backup, Archivierung, CRM) nutzen EWS lokal auf Ihrem Server. Das bleibt vorerst erhalten. Microsoft schaltet EWS in der Cloud ab, nicht die lokale Schnittstelle auf Ihrem eigenen Server. Dennoch ist es ratsam, bei künftigen Software-Anschaffungen auf moderne Schnittstellen zu achten.

Die bittere Pille: Exchange 2016 und 2019 bleiben außen vor

Hier wird es politisch und technisch ungemütlich. Microsoft hat zwar Patches für die alten Versionen veröffentlicht:

• Exchange Server 2019 (CU14 und CU15)
• Exchange Server 2016 (CU23)

Aber Vorsicht: Diese Versionen erhalten lediglich die Sicherheits-Fixes. Die neue Graph-Unterstützung für Hybrid-Szenarien gibt es nur für die Exchange Server Subscription Edition (SE).

Das bedeutet im Klartext: Wenn Sie doch irgendwann eine Hybrid-Anbindung planen oder bereits nutzen, haben Sie mit den alten Versionen ein Verfallsdatum. Spätestens im April 2027 schaltet Microsoft EWS in Exchange Online ab. Ein Upgrade auf Exchange SE ist also für die meisten Firmen eine zwingende Voraussetzung.

Warum das Hotfix Update so wichtig für Ihre Sicherheit ist

Manche Admins denken: „Wir haben eine Firewall und nutzen MFA, uns passiert schon nichts.“ Das ist leider ein gefährlicher Irrtum. Sicherheitslücken wie die aktuelle EoP-Vulnerability greifen oft an Stellen an, an denen klassische Schutzwälle bereits überwunden wurden oder gar nicht greifen.

Ein Sicherheitsupdate ist Ihre letzte Verteidigungslinie. Ohne diesen Patch bleibt die Tür für versierte Hacker einen Spalt weit offen. In der Vergangenheit haben wir gesehen, wie schnell Exploit-Code nach der Veröffentlichung von Updates im Netz landet. Zeit ist hier also der entscheidende Faktor.

Die Gefahr von Privilege Escalation

Bei einer Rechteausweitung muss der Angreifer nicht einmal Ihr Passwort kennen. Er nutzt einen Fehler im Code des Servers aus, um von einem normalen Benutzerkonto auf die Ebene des System-Admins aufzusteigen. Das ist so, als würde ein Gast in einem Hotel plötzlich den Generalschlüssel für alle Zimmer erhalten. Das aktuelle Mai-Update nimmt den Angreifern diesen Schlüssel wieder weg.

Deep Dive: Die Migration zu Microsoft Graph API (Hybrid-Fokus)

Wenn Sie bereits auf Exchange SE migriert sind und Hybrid nutzen, ist das Mai-Update Ihr Startschuss für die „Stage 2“.

Was ist „Rich Coexistence“?

Vielleicht fragen Sie sich: „Brauche ich das überhaupt?“ Wenn Ihre Nutzer im Outlook sehen wollen, ob ein Kollege in der Cloud gerade in einem Meeting ist (Free/Busy), oder wenn sie beim Tippen einer Mail gewarnt werden wollen, dass der Empfänger im Urlaub ist (MailTips), dann nutzen Sie Rich Coexistence. Bisher lief das alles über EWS.

Die Deadline im Nacken

• Oktober 2026: Ab diesem Zeitpunkt wird EWS in vielen Tenants bereits eingeschränkt.
• April 2027: EWS wird in Exchange Online endgültig abgeschaltet.

Wer bis dahin seine hybride Konfiguration nicht auf die neue „dedicated Exchange hybrid app“ und die Graph-Berechtigungen umgestellt hat, wird mit Ticket-Anfragen von verärgerten Nutzern überhäuft werden.

Vorbereitung: So machen Sie Ihren Server bereit für das Patching

Bevor Sie auf „Installieren“ klicken, ist eine gute Vorbereitung die halbe Miete. Ich habe schon zu viele Server gesehen, die nach einem abgebrochenen Update im „Limbus“ hingen. Das lässt sich fast immer durch einfache Schritte vermeiden.

Prüfen Sie zuerst Ihren aktuellen Patch-Stand. Der Exchange HealthChecker ist hier Ihr bester Freund. Dieses Skript zeigt Ihnen sofort, ob Ihr Server die nötigen Voraussetzungen erfüllt.

Checkliste vor der Installation:

• Vollständiges Backup: Erstellen Sie ein Backup der virtuellen Maschine (Snapshot) und der Datenbanken.
• Speicherplatz prüfen: Stellen Sie sicher, dass auf dem Systemlaufwerk mindestens 10 GB freier Platz sind.
• Admin-Rechte: Sie müssen die Installation mit erhöhten Rechten ausführen.
• Wartungsfenster: Informieren Sie die Nutzer. Exchange-Updates dauern oft länger als geplant.

Schritt-für-Schritt-Anleitung: Installation des Exchange Hotfixes

Es gibt zwei Wege, das Update einzuspielen. Entweder nutzen Sie Windows Update oder Sie laden das Paket manuell als .msp-Datei herunter. Ich persönlich bevorzuge den manuellen Weg, da man hier mehr Kontrolle über den Prozess hat.

Installation via Windows Update

Falls Ihr Server so konfiguriert ist, finden Sie das Update unter „Optionale Updates“ oder direkt in der Liste der wichtigen Sicherheitsupdates. Der Vorteil: Windows kümmert sich um den Neustart der Dienste. Der Nachteil: Man sieht bei Fehlern oft nur kryptische Codes.

Manueller Download und Installation

1. Laden Sie das Paket (KB5081755 für Exchange SE) von der offiziellen Microsoft-Seite herunter.
2. Öffnen Sie die Eingabeaufforderung (CMD) unbedingt als Administrator.
3. Navigieren Sie zum Pfad der Datei und führen Sie sie aus: msiexec /p ExchangeSE-KB5081755-x64-en.msp.
4. Folgen Sie den Anweisungen und lassen Sie das System danach neu starten.

Wichtig: Klicken Sie niemals einfach doppelt auf die Datei im Explorer. Das führt oft dazu, dass die Installation zwar durchläuft, aber wichtige Registrierungsschlüssel nicht gesetzt werden, weil die nötigen Rechte fehlen.

Nach der Installation: Graph API aktivieren (Nur für Hybrid-Szenarien)

Wenn das Update installiert ist, ist der Server zwar sicher, aber die Hybrid-Konnektivität nutzt standardmäßig immer noch EWS. Rein lokale Umgebungen ignorieren diesen Schritt bitte. Alle anderen müssen aktiv werden.

Der PowerShell-Befehl

Nachdem Sie sichergestellt haben, dass Sie die dedizierte Hybrid-App in Entra ID konfiguriert haben, müssen Sie die Funktion auf dem lokalen Server freischalten. Nutzen Sie dazu die Exchange Management Shell (EMS) mit Administratorrechten:

New-SettingOverride -Name "EnableGraphHybridCoexistence" -Component "CloudService" -Section "HybridConfiguration" -Parameters @("Enabled=true") -Reason "Migration from EWS to Graph"

Nachdem Sie diesen Befehl ausgeführt haben, müssen Sie den Microsoft Exchange Active Directory Topology Dienst neu starten. Danach beginnt Ihr Server, für Anfragen an die Cloud die moderne Graph-Schnittstelle zu nutzen.

Häufige Probleme und wie Sie sie lösen

Es läuft nicht immer alles glatt. Eines der häufigsten Probleme nach einem Exchange Server Update ist, dass die Exchange-Dienste auf „Deaktiviert“ stehen bleiben. Das passiert oft, wenn die Installation vorzeitig abgebrochen wird oder ein Fehler auftritt.

Keine Panik. Schauen Sie in die Diensteverwaltung (services.msc). Wenn die Dienste auf „Disabled“ stehen, setzen Sie sie manuell auf „Automatisch“ und starten Sie sie. Prüfen Sie danach im Event Viewer unter „Anwendung“ nach Fehlern mit der Quelle „MSExchange Common“.

Wenn das Update abbricht

Sollte die Installation mit einem Fehler abbrechen, löschen Sie die temporären Dateien im Ordner C:\Windows\Temp. Starten Sie den Server neu und versuchen Sie es erneut. Oft blockiert ein Virenscanner den Zugriff auf bestimmte Dateien. Ein Blick in das Setup-Log unter C:\ExchangeSetupLogs\ServiceUpdate gibt meist den entscheidenden Hinweis.

Nach dem Update: Kontrolle ist besser als Vertrauen

Nutzen Sie erneut das Exchange HealthChecker Skript. Es zeigt Ihnen die neue Versionsnummer an und bestätigt, dass die Sicherheitslücke geschlossen ist. Für Exchange SE Kunden zeigt es auch an, ob die Graph-Migration erfolgreich eingeleitet wurde. Erst wenn hier alles grün ist, sollten Sie den Snapshot der VM löschen.

Warum der HealthChecker unverzichtbar ist

Dieses Tool prüft nicht nur die Version, sondern auch, ob die nötigen Konfigurationen (wie Extended Protection) korrekt gesetzt sind. Ohne dieses Tool tappen Sie im Dunkeln.

Die Rolle von Extended Protection beim Exchange Patching

Extended Protection verhindert Man-in-the-Middle-Angriffe, indem es die Authentifizierung stärker an den TLS-Kanal bindet. Das aktuelle Update vom Mai 2026 setzt voraus, dass Ihre Konfiguration sauber ist. Der HealthChecker warnt Sie, falls hier Handlungsbedarf besteht. Denken Sie daran: Sicherheit ist kein Ziel, sondern ein fortlaufender Prozess.

Fazit: Sicherheit ist ein Dauerlauf, kein Sprint

Das Exchange Server Update vom Mai 2026 ist weit mehr als eine lästige Wartungsaufgabe. Für reine On-Premise-Umgebungen ist es vor allem ein Pflichttermin für die Sicherheit. Für Hybrid-Admins ist es der lebensnotwendige Rettungsring vor dem EWS-Ende.

Warten Sie nicht bis zum Wochenende oder bis zum April 2027. Planen Sie das Update für die nächsten Tage ein. Ein sicherer und zukunftsfähiger Mailserver ist die beste Visitenkarte für eine IT-Abteilung, die ihre Infrastruktur im Griff hat.

Meine Empfehlung: Installieren Sie das Hotfix sofort wegen der Sicherheitslücke. Auch wenn Sie keine Cloud nutzen: Prüfen Sie Ihren Upgrade-Pfad zu Exchange SE, um langfristig im Support-Rahmen zu bleiben. Viel Erfolg beim Patching!

Der Patchday ist der kritischste Tag im Monat für jede IT-Abteilung. Doch der Microsoft Patchday Oktober 2025 stellt eine besondere Herausforderung dar. Er markiert nicht nur das Ende des Supports für zentrale Produkte wie Windows 10 und Exchange Server 2016/2019, sondern bringt auch eine alarmierend hohe Anzahl an dringend zu schließenden Sicherheitslücken mit sich.

Dieser Artikel liefert Ihnen als IT-Verantwortlichen oder Sicherheitsspezialisten die vollständige, tiefgehende Analyse aller veröffentlichten Sicherheitsupdates. Wir schlüsseln die Bedrohungen auf, nennen die kritischsten Zero-Day-Schwachstellen und geben Ihnen eine klare Handlungsanweisung, um Ihre Infrastruktur schnellstmöglich zu härten.

Lesen Sie jetzt, welche kritische Sicherheitslücken Sie sofort priorisieren müssen und wie Sie die bevorstehenden End-of-Support-Meilensteine sicher managen.

Die Zahlen der Bedrohung: 6 Zero-Days und 172 Schwachstellen

Der Umfang der Korrekturen in diesem Monat unterstreicht die Notwendigkeit eines robusten Patch Management. Insgesamt adressiert Microsoft 172 Schwachstellen. Diese hohe Zahl ist besorgniserregend und erfordert eine präzise Priorisierung der Updates.

Die Anzahl der Fehler in jeder Schwachstellenkategorie ist unten aufgeführt:

80 Schwachstellen durch Erhöhung der Berechtigung (Elevation of Privilege)
11 Anfälligkeiten für die Umgehung von Sicherheitsfunktionen
31 Schwachstellen durch Remotecode-Ausführung
28 Schwachstellen in Bezug auf die Offenlegung von Informationen
11 Denial-of-Service-Schwachstellen
10 Spoofing-Schwachstellen

Aufschlüsselung der Schweregrade

Um den Überblick zu behalten, ist es entscheidend, die Lücken nach ihrem Schweregrad zu klassifizieren.

• Kritisch (Critical): Mehrere Schwachstellen wurden als Kritisch eingestuft. Dies bedeutet, dass sie ohne Benutzerinteraktion oder mit minimalen Berechtigungen zur vollständigen Kompromittierung des Systems führen können, oft durch Remote Code Execution (RCE).
• Wichtig (Important): Der Großteil der CVE-Nummern fällt in diese Kategorie. Diese Lücken können zu erhöhten Privilegien, Denial of Service (DoS) oder Informationslecks führen.
• Niedrig/Mittel: Diese sind ebenfalls zu beheben, stellen aber keine unmittelbare, akute Bedrohung dar.

Top-Priorität: Die 6 Zero-Day-Schwachstellen

Das größte Risiko geht von den Schwachstellen aus, die bereits aktiv von Angreifern ausgenutzt werden – den sogenannten Zero-Day-Schwachstellen. Der Oktober-Patchday beseitigt sechs solcher Lücken. Dies ist ein extrem hoher Wert und signalisiert eine erhöhte Angriffsaktivität, die sofortige Reaktion erfordert.

Was sind Zero-Days? Zero-Day-Lücken sind Fehler in der Software, die der Hersteller (Microsoft) gerade erst kennt oder für die noch kein Patch existiert, die aber bereits in freier Wildbahn für Angriffe genutzt werden. Die sofortige Installation der Sicherheitsupdates hat hier absolute Priorität.

CVE-2025-59230: Sicherheitslücke durch Rechteausweitung im Windows Remote Access Connection Manager

Die erste Zero-Day-Sicherheitslücke ist eine Schwachstelle im Windows Remote Access Connection Manager (RACMAN)-Dienst, der VPN- und Fernzugriffsverbindungen verwaltet. Durch unsachgemäße Zugriffskontrollen (CWE-284) kann ein authentifizierter Benutzer mit geringen Berechtigungen seine Rechte auf SYSTEM ausweiten.

Das Problem scheint darauf zurückzuführen zu sein, dass der RACMAN-Dienst Befehle von Benutzern mit geringeren Berechtigungen validiert und verarbeitet, ohne die Autorisierung vor der Ausführung privilegierter Vorgänge ordnungsgemäß zu überprüfen.

Wichtige Kennzahlen

• Angriffsvektor: Lokal (AV:L)
• Komplexität des Angriffs: Gering (AC:L)
• Erforderliche Berechtigungen: Gering (PR:L)
• Basisbewertung: 7,8 (Hoch)
• Zeitliche Bewertung: 7,2 (hoch)

Ausnutzungsstatus

• In freier Wildbahn: Ja, eine Ausnutzung wurde festgestellt.
• Proof of Concept: Es gibt einen funktionsfähigen Exploit, der jedoch möglicherweise nicht öffentlich verfügbar ist.

Betroffene Systeme

• Windows 10- und Windows 11-Workstations
• Windows Server 2016, 2019 und 2022

Warum dies gefährlich ist

1. SYSTEM-Berechtigungen gewähren die vollständige Kontrolle über das kompromittierte System.

2. Die Schwachstelle kann in Angriffsketten genutzt werden, um:

• Berechtigungen nach dem ersten Zugriff durch Phishing oder andere Eintrittsvektoren zu eskalieren
• Nach anderen Exploits Persistenz herzustellen
• Die Benutzerkontensteuerung (UAC) zu umgehen (UAC)
• Unterstützung komplexerer Angriffe auf Domänencontroller in Kombination mit lateraler Bewegung

3. Die geringe Komplexität der Ausnutzung macht sie für Angreifer mit mittleren Fähigkeiten zugänglich.

Risikofaktoren für Unternehmen Viele Unternehmen sind weiterhin gefährdet, da Remotezugriffsdienste weit verbreitet sind und Windows nach wie vor die Unternehmensumgebungen dominiert. Die aktive Ausnutzung erhöht die Dringlichkeit, schnell Patches zu installieren. In großen Umgebungen oder solchen mit langsameren Patch-Zyklen kann die Gefährdung auch nach der Veröffentlichung von Korrekturen bestehen bleiben.

Was diesen Zero-Day-Exploit für Angreifer besonders attraktiv macht, ist seine Zuverlässigkeit und das hochwertige Ergebnis – konsistenter Zugriff auf SYSTEM-Ebene ohne komplexe Voraussetzungen.

CVE-2025-24990: Windows Agere Modemtreiber – Sicherheitslücke durch Rechteausweitung

Ein weiterer Zero-Day-Exploit betrifft den Agere-Modemtreiber (ltmdm64.sys), der standardmäßig mit Windows-Betriebssystemen ausgeliefert wird. Die Schwachstelle ist eine nicht vertrauenswürdige Pointer-Dereferenzierung (CWE-822), die auftritt, wenn der Treiber die vom Benutzer bereitgestellten Zeiger nicht ordnungsgemäß validiert, bevor er sie im Kernel-Modus dereferenziert. Dieser Fehler ermöglicht es Angreifern, Speicherstrukturen mit Kernel-Rechten zu manipulieren.

Das Problem ist besonders besorgniserregend, da es in einem Legacy-Hardware-Support-Code vorhanden ist, der standardmäßig auf Windows-Systemen installiert ist, selbst wenn die zugehörige Hardware nicht vorhanden ist oder nicht verwendet wird.

Wichtige Kennzahlen

• Angriffsvektor: Lokal (AV:L)
• Komplexität des Angriffs: Gering (AC:L)
• Erforderliche Berechtigungen: Gering (PR:L)
• Basisbewertung: 7,8 (Hoch)
• Zeitliche Bewertung: 7,2 (Hoch)

Ausnutzungsstatus

• In freier Wildbahn: Ja, aktive Ausnutzung festgestellt
• Proof of Concept: Es existiert ein funktionierender Exploit
• Öffentliche Bekanntgabe: Keine vor dem Sicherheitsbulletin

Betroffene Systeme

• Alle unterstützten Windows-Desktop- und Server-Versionen
• Systeme mit oder ohne Agere-Modem-Hardware

Warum dies gefährlich ist

1. Da die Schwachstelle im Kernel-Modus auftritt, können Angreifer die höchsten Berechtigungen erlangen, was Folgendes ermöglicht:

• Vollständige Kompromittierung des Systems
• Zugriff auf geschützte Systemressourcen
• Deaktivierung von Sicherheitskontrollen
• Installation von persistenten Backdoors

2. In fortgeschrittenen Angriffsketten könnte sie genutzt werden, um:

• Anwendungs-Sandboxes zu umgehen
• Nach der ersten Kompromittierung Persistenz aufrechtzuerhalten
• Zusätzliche Malware mit Systemrechten zu installieren
• Sich lateral innerhalb von Unternehmensnetzwerken zu bewegen
• Sicherheits-Tools auf dem betroffenen System zu manipulieren

3. Das Risiko wird verstärkt, weil:

• Die Ausnutzung nicht von der tatsächlichen Hardware abhängt
• Microsoft sich dafür entschieden hat, den anfälligen Treiber vollständig zu entfernen, anstatt ihn zu patchen
• Die Ausnutzung wenig komplex ist

Auswirkungen auf Unternehmen Das potenzielle Risiko ist groß, da der anfällige Treiber standardmäßig in den meisten Windows-Installationen vorhanden ist. Unternehmen mit älteren Systemen, die auf Agere-Modemhardware angewiesen sind, stehen vor einer zusätzlichen Herausforderung, da die Hardware nach dem kumulativen Update im Oktober nicht mehr funktionieren wird.

Aktive Ausnutzung bestätigt, dass Angreifer diesen Zero-Day bereits nutzen. Die Entscheidung von Microsoft, den Treiber zu entfernen, anstatt ihn zu patchen, deutet darauf hin, dass der Fehler tief in seinem Design verwurzelt ist und nicht behoben werden kann, ohne die Funktionalität zu beeinträchtigen. Dies erhöht sowohl die Sicherheits- als auch die Betriebsrisiken für betroffene Umgebungen.

CVE-2025-24052: Windows Agere Modemtreiber – Sicherheitslücke durch Rechteausweitung

Dieser Zero-Day betrifft den Agere-Modemtreiber (ltmdm64.sys), der standardmäßig mit Windows ausgeliefert wird. Es handelt sich um einen stapelbasierten Pufferüberlauf (CWE-121), der durch eine unsachgemäße Validierung der Eingabepuffergrößen vor dem Kopieren von Daten in einen Stapelpuffer mit fester Größe verursacht wird. Die daraus resultierende Speicherbeschädigung kann zur Ausführung von Code auf Kernel-Ebene und zur Ausweitung von Berechtigungen führen.

Der Fehler befindet sich in einem veralteten Treibercode, der auch dann auf modernen Systemen installiert bleibt, wenn die entsprechende Hardware nicht vorhanden ist. Dadurch erhöht sich das Risiko für viele Geräte.

Wichtige Kennzahlen

• Angriffsvektor: Lokal (AV:L)
• Komplexität des Angriffs: Gering (AC:L)
• Erforderliche Berechtigungen: Gering (PR:L)
• Basisbewertung: 7,8 (Hoch)
• Zeitliche Bewertung: 7,0 (hoch)

Ausnutzungsstatus

• In freier Wildbahn: Keine bestätigte Ausnutzung festgestellt
• Proof of Concept: Es gibt einen PoC, der jedoch möglicherweise noch nicht vollständig einsatzbereit ist
• Öffentliche Bekanntgabe: Ja, die Schwachstelle wurde öffentlich bekannt gegeben

Betroffene Systeme

• Alle unterstützten Windows-Desktop-Versionen (Windows 10, Windows 11)
• Alle unterstützten Windows Server-Versionen
• Systeme mit oder ohne physische Agere-Modem-Hardware

Warum dies schwerwiegend ist

1. Als Kernel-Mode-Fehler kann eine erfolgreiche Ausnutzung die Ausführung von beliebigem Code auf der höchsten Privilegienebene ermöglichen, wodurch das gesamte System kompromittiert und dauerhaft beeinträchtigt werden kann.
2. In komplexen Angriffsketten kann dies für die Eskalation von Privilegien nach der Kompromittierung, das Entkommen aus der Sandbox, laterale Bewegungen und die Untergrabung von Sicherheitstools, die auf Kernel-Komponenten basieren, genutzt werden.
3. Der stapelbasierte Überlauf kann die Ausführung von Shellcode, die Beschädigung von Kernel-Datenstrukturen und die Kontrolle des Programmablaufs ermöglichen.

Auswirkungen auf den Betrieb Microsoft hat den Treiber entfernt, anstatt ihn zu patchen, wodurch die Schwachstelle beseitigt wird, aber Kompatibilitätsprobleme für Unternehmen entstehen, die weiterhin auf Agere-Modem-Hardware angewiesen sind. Die Einschätzung von Microsoft, dass eine Ausnutzung „sehr wahrscheinlich“ ist, sowie die öffentliche Bekanntgabe und ein verfügbarer PoC bedeuten, dass das Zeitfenster für die Ausnutzung der Schwachstelle immer kleiner wird, auch wenn bisher keine aktive Ausnutzung bestätigt wurde.

CVE-2025-0033: AMD RMP-Beschädigung während der SNP-Initialisierung

Eine weitere Zero-Day-Sicherheitslücke, die am Tag vor dem Patch Tuesday bekannt wurde, ist eine kritische Schwachstelle in AMD EPYC-Prozessoren, die die Secure Encrypted Virtualization – Secure Nested Paging (SEV-SNP)-Technologie implementieren. Der Fehler resultiert aus einer Race Condition während der Initialisierung der Reverse Map Table (RMP), einer wichtigen SEV-SNP-Struktur, die die Eigentumsverhältnisse und Berechtigungen von physischen Speicherseiten verfolgt.

Während des SNP-Initialisierungsprozesses gibt es ein Zeitfenster, in dem RMP-Einträge konfiguriert, aber noch nicht gesperrt sind. Ein privilegierter Angreifer könnte diese Lücke ausnutzen, um RMP-Einträge zu ändern, wodurch ein kompromittierter Hypervisor möglicherweise die Sicherheitsattribute von Speicherseiten ändern könnte, die vertraulichen virtuellen Maschinen (VMs) zugewiesen sind, wodurch die Sicherheitsgarantien von SEV-SNP untergraben würden.

Wichtige Kennzahlen

• Angriffsvektor: Lokal (AV:L)
• Komplexität des Angriffs: Gering (AC:L)
• Erforderliche Privilegien: Hoch (PR:H)
• Basisbewertung: 8,2 (Hoch)
• Zeitliche Bewertung: 7,1 (Hoch)

Ausnutzungsstatus

• In freier Wildbahn: Keine bekannte Ausnutzung
• Proof of Concept: Kein öffentlicher Exploit verfügbar (Reife des Exploit-Codes: Unbewiesen)
• Öffentliche Bekanntgabe: Ja, bekannt gegeben von AMD am 13. Oktober 2025

Betroffene Systeme

• AMD EPYC-Prozessoren mit SEV-SNP-Fähigkeit
• Virtualisierungsumgebungen, die AMD SEV-SNP für vertrauliche Datenverarbeitung verwenden
• Cloud-Plattformen, die AMD-basierte vertrauliche Datenverarbeitungsdienste anbieten
• Lokale Private Clouds, auf denen SEV-SNP-fähige Hardware ausgeführt wird

Warum dies wichtig ist

1. Die Schwachstelle untergräbt die zentralen Sicherheitsgrenzen der vertraulichen Datenverarbeitung, indem sie:

• die hardwaregestützte Isolation zwischen Hypervisor und Gast-VMs aufhebt
• die Änderung des geschützten VM-Speichers ermöglicht
• möglicherweise die Beglaubigungsmechanismen in SEV-SNP-Umgebungen beeinträchtigt

2. Bei fortgeschrittenen Angriffen könnte dies Folgendes ermöglichen:

• Umgehung der SEV-SNP-Verschlüsselung und Isolationsschutzmaßnahmen
• Manipulation von Speicherinhalten in vertraulichen VMs
• Einschleusen von bösartigem Code in geschützte Workloads
• Erleichterung von Seitenkanalangriffen

3. Dies könnte auch mit folgenden Faktoren kombiniert werden:

• Schwachstellen bei der Eskalation von Hypervisor-Rechten
• Andere Schwachstellen von AMD-Prozessoren
• Supply-Chain-Angriffe auf vertrauliche Computing-Infrastrukturen

Auswirkungen und Risiken Nur eine kleine Anzahl von Organisationen betreibt SEV-SNP-fähige Systeme, in der Regel große Cloud-Anbieter, Regierungsbehörden, Finanzinstitute und Gesundheitsorganisationen, die mit hochsensiblen Daten umgehen. Die Ausnutzung dieser Schwachstelle ist aufgrund der erforderlichen Zugriffsrechte auf Hypervisor-Ebene und der erforderlichen tiefgreifenden technischen Kenntnisse über SEV-SNP begrenzt.

Große Cloud-Anbieter wie Microsoft Azure mindern dieses Risiko durch strenge administrative Kontrollen, mehrschichtige Abwehrmaßnahmen und kontinuierliche Integritätsüberwachung. Die Schwachstelle ist zwar schwerwiegend, eine praktische Ausnutzung ist jedoch für die meisten Umgebungen unwahrscheinlich. Bei gezielten Angriffen auf hochwertige vertrauliche Computersysteme bleibt sie jedoch ein erhebliches Problem, das eine umgehende Installation von Patches erfordert, sobald Updates verfügbar sind.

CVE-2025-59287: Schwachstelle in Windows Server Update Service (WSUS) ermöglicht Remote-Code-Ausführung

Dies ist eine kritische Sicherheitslücke in Windows Server Update Services (WSUS), einem Kernbestandteil der Patch-Infrastruktur von Microsoft für Unternehmen. Es handelt sich um ein Problem der Deserialisierung nicht vertrauenswürdiger Daten (CWE-502), das es WSUS ermöglicht, von Angreifern kontrollierte Objekte ohne ausreichende Validierung zu deserialisieren, was zur Remote-Codeausführung im Kontext des WSUS-Dienstes führen kann.

Die Ursache scheint ein unsicherer älterer Serialisierungsmechanismus zu sein, der eingehende Netzwerkereignisse verarbeitet. WSUS validiert Objekttypen vor der Deserialisierung nicht, sodass ein Angreifer bösartige serialisierte Objekte bereitstellen kann, die bei der Deserialisierung Code ausführen. Der Dienst wird in der Regel mit SYSTEM-Rechten ausgeführt, sodass bei erfolgreicher Ausnutzung Code mit hohen Rechten ausgeführt werden kann.

Wichtige Kennzahlen

• Angriffsvektor: Netzwerk (AV:N)
• Komplexität des Angriffs: Gering (AC:L)
• Erforderliche Berechtigungen: Keine (PR:N)
• Basisbewertung: 9,8 (kritisch)
• Zeitliche Bewertung: 8,5 (hoch)

Ausnutzungsstatus

• In freier Wildbahn: Zum Zeitpunkt der Offenlegung sind keine Ausnutzungen bekannt.
• Proof of Concept: Kein öffentlicher Exploit verfügbar (Reife des Exploit-Codes: unbewiesen)
• Öffentliche Bekanntgabe: Keine öffentliche Bekanntgabe vor Veröffentlichung des Patches

Betroffene Systeme

• Windows-Server, auf denen WSUS ausgeführt wird
• Systeme, die in Unternehmensumgebungen als WSUS-Server konfiguriert sind
• Alle unterstützten Windows Server-Versionen, auf denen die WSUS-Rolle installiert ist
• Sowohl dedizierte WSUS-Server als auch Mehrzweckserver, auf denen WSUS ausgeführt wird

Warum dies gefährlich ist

1. WSUS wird normalerweise mit SYSTEM-Rechten ausgeführt, sodass der Angreifer durch die Ausnutzung die höchsten lokalen Rechte erhält.
2. WSUS-Server verfügen in der Regel über Netzwerkverbindungen zu vielen Endpunkten und können bei falscher Konfiguration über das Internet zugänglich sein.
3. Eine erfolgreiche Ausnutzung könnte es einem Angreifer ermöglichen, bösartige Updates auf verwalteten Systemen zu installieren, was zu einer weitreichenden Kompromittierung und dauerhaften Hintertüren führen könnte.
4. Als Teil einer Angriffskette könnte dies mit anderen Schwachstellen in der Infrastruktur oder Supply-Chain-Techniken kombiniert werden, um die Auswirkungen zu verstärken.

Auswirkungen auf Unternehmen

• Viele mittlere bis große Unternehmen verlassen sich bei der Patch-Verwaltung auf WSUS; einigen Schätzungen zufolge liegt die Nutzungsrate in diesen Segmenten bei 70 bis 80 Prozent.
• Unternehmen mit mehreren WSUS-Servern oder segmentierten Netzwerken sind einem erhöhten Risiko ausgesetzt.
• Kritische Infrastrukturen, Behörden, Finanzinstitute und Einrichtungen des Gesundheitswesens verwenden häufig WSUS, was das Potenzial für schwerwiegende Folgen erhöht.
• Die Wiederherstellung nach einer Kompromittierung der Update-Infrastruktur kann die Wiederherstellung des Vertrauens in der gesamten Umgebung und die Wiederherstellung der Update-Pipeline erfordern.

Die Einschätzung von Microsoft, dass eine Ausnutzung „sehr wahrscheinlich“ ist, sowie der ferngesteuerte, nicht authentifizierte Angriffsvektor und die geringe Komplexität machen dies zu einem Problem mit hoher Priorität für betroffene Unternehmen.

Das Ende einer Ära: Windows 10 Support-Ende

Der Microsoft Patchday Oktober 2025 ist für Millionen von Unternehmen und Privatnutzern ein historischer Meilenstein. Ab diesem Zeitpunkt erhält Windows 10 keine kostenlosen, regulären Sicherheitsupdates mehr.

Der allerletzte Patchday für die meisten Nutzer

Mit dem Oktober-Update wird der offizielle Support für Windows 10 für alle nicht berechtigten oder nicht zahlenden Kunden eingestellt. Das bedeutet:

1. Keine neuen Sicherheitskorrekturen: Alle nach diesem Datum entdeckten Schwachstellen, einschließlich neuer Zero-Days, werden nicht mehr kostenlos von Microsoft behoben.
2. Erhöhtes Risiko: Geräte, die mit dem Internet verbunden sind und Windows 10 ohne Extended Security Updates (ESU) nutzen, werden schnell zu einfachen Zielen für Cyberkriminelle.
3. Compliance-Probleme: Viele regulatorische Standards (wie DSGVO oder HIPAA) erfordern den Betrieb unterstützter Software, was mit dem Windows 10 Support-Ende nicht mehr gegeben ist.

Migration: Optionen und Risiken

Wenn Sie noch Windows 10 in Ihrer Umgebung nutzen, haben Sie nun drei Optionen:

• Option 1: Migration zu Windows 11: Dies ist der empfohlene Pfad. Nutzen Sie diesen Patchday als letzten Anstoß für die Planung und den Rollout von Windows 11.
• Option 2: Extended Security Updates (ESU): Für Organisationen, die nicht rechtzeitig migrieren können, bietet Microsoft kostenpflichtige ESU-Lizenzen an. Diese stellen Sicherheitsupdates für einen begrenzten Zeitraum bereit, sind aber keine langfristige Lösung.
• Option 3: Risiko akzeptieren (nicht empfohlen): Das Gerät wird im Grunde zu einer „Zeitbombe“ in Ihrem Netzwerk. Dies sollte unter allen Umständen vermieden werden.

Abschied von Exchange: End of Support für 2016 und 2019

Parallel zum Windows 10 Support-Ende erreichen auch Microsoft Exchange Server 2016 und 2019 das Ende ihres Mainstream-Supports. Während es für Exchange 2016 und 2019 Übergangsfristen für den Extended Support geben mag, ist die Botschaft klar: Die Migration auf eine aktuellere Version oder in die Cloud (Exchange Online) muss beschleunigt werden.

Welche Risiken bestehen jetzt?

Exchange Server sind historisch gesehen die kritischsten, oft angegriffenen On-Premise-Komponenten in Unternehmensnetzwerken.

• Angriffsziel Nummer 1: Ungesicherte Exchange Server sind die primären Angriffsvektoren für Ransomware und Datenexfiltration.
• Keine neuen Features/Fixes: Nach dem EoS wird es schwieriger, nicht sicherheitsrelevante Probleme zu beheben, und die Plattform veraltet in Bezug auf moderne Sicherheitsstandards.

Die notwendigen Migrationspfade

Für alle, die noch Exchange Server End of Support-Versionen betreiben, ist die einzige sichere Strategie die Migration:

1. Empfohlen: Wechsel zu Exchange Online (Microsoft 365): Dies bietet die höchste Sicherheit und Verfügbarkeit, da Microsoft das Patch Management übernimmt.
2. On-Premise Upgrade auf Exchange 2023/2024: Halten Sie Ihre Infrastruktur auf dem neuesten Stand. Achten Sie auf die neuesten Systemanforderungen und Architekturänderungen.

Die Oktober 2025 Patch Tuesday Sicherheitsupdates

Nachfolgend finden Sie die vollständige Liste der behobenen Sicherheitslücken in den Patch Tuesday-Updates vom Oktober 2025.

Quelle: techcommunity.microsoft.com (Englisch)

Wie bereits angekündigt, werden die Exchange Server Subscription Edition und die Skype for Business Server Subscription Edition im Juli 2025 allgemein verfügbar sein.

Um Subskription Edition-Serverprodukte bereitzustellen und zu nutzen, müssen Kunden über aktive Software Assurance (SA) oder Cloud Subscription-Lizenzen für alle Benutzer und Geräte verfügen, die auf sie zugreifen. Die Veröffentlichung der Subscription Editions für Exchange Server und Skype for Business Server bringt diese Produkte in Übereinstimmung mit SharePoint beim Übergang von einem dreijährigen Versionszyklus zu einem „versionslosen“ Produkt mit regelmäßigen Updates durch die Modern Lifecycle Policy.

Aktualisierte Preise für Serverprodukte und -suites

Zur Unterstützung der fortlaufenden Wartung und Updates für Microsofts On-Premises-Serverprodukte werden die Preise für alle eigenständigen On-Premises-Serverprodukte (SharePoint Server, Exchange Server und Skype for Business Server) im Juli dieses Jahres um 10 % erhöht, parallel zur allgemeinen Verfügbarkeit von Exchange Server Subscription Edition und Skype for Business Subscription Edition. Die Preise für unsere Core CAL Suite und Enterprise CAL Suite, die seit einiger Zeit statisch sind, werden um 15 % bzw. 20 % angehoben. Diese Preisänderungen werden am 1. Juli 2025 wirksam.

Bitte beachten Sie, dass diese Änderungen ausschließlich für die On-Premises-Versionen dieser Produkte gelten. Es gibt keine Auswirkungen auf die Preise für SharePoint Online, Exchange Online oder Microsoft Teams, die separat oder über eine Microsoft 365-Lizenz erworben werden.

Wenn Sie mehr über diese Änderungen erfahren oder den Übergang zur Cloud einleiten möchten, wenden Sie sich noch heute an Ihr Microsoft-Kundenteam oder Ihren Partner.

Quelle: techcommunity.microsoft.com (Englisch)

Microsoft hat Hotfix-Updates (HUs) veröffentlicht, die neue Funktionen unterstützen und Probleme in früheren Updates beheben.

• Exchange Server 2019
• Exchange Server 2016

HUs sind für die folgenden spezifischen Versionen von Exchange Server verfügbar:

• Exchange Server 2019 CU14 und 2019 CU15
• Exchange Server 2016 CU23 (aufgrund eines Problems im Download Center ist diese Version vorübergehend nicht verfügbar)

Die HUs vom April 2025 enthalten keine neuen Exchange Server-Sicherheitsupdates. Wir möchten auf die folgende Funktion dieses Updates hinweisen:

Ankündigung der dedizierten Exchange-Hybridanwendung

Im Rahmen unserer Secure Future Initiative (SFI) nehmen wir Änderungen vor, um die Sicherheit Ihrer Exchange Hybrid-Konfiguration zu verbessern. Einer der Schritte zur Erreichung dieses Ziels ist die Trennung der Identitäten von Exchange Server und Exchange Online durch die Erstellung einer dedizierten Exchange Hybrid-Anwendung in Microsoft Entra ID. Dies ist Teil unserer allgemeinen Bemühungen, die veraltete Exchange Web Services (EWS)-API aus Exchange Online auslaufen zu lassen und auf die Verwendung von Graph API-Aufrufen mit granularen Graph API-Berechtigungen umzustellen.
Um Exchange-Hybridbereitstellungsfunktionen wie Kalender-Freie/Gebucht, MailTips und die Freigabe von Benutzerprofilbildern (wir bezeichnen dies als „Rich Coexistence“) zu aktivieren, verwendet Exchange Server derzeit einen gemeinsamen Dienstprinzipal mit derselben Anwendung wie Exchange Online. Der Name dieser Anwendung lautet „Office 365 Exchange Online“ und sie hat die Anwendungs-ID „00000002-0000-0ff1-ce00-000000000000“. Diese Konfiguration wird beim ersten Ausführen des Hybrid Configuration Wizard (HCW) eingerichtet und dient zur Authentifizierung und Sicherung der Kommunikation zwischen Exchange Server und Exchange Online.

Ab der HU-Version vom April 2025 beginnt Exchange Server mit der Umstellung auf die Verwendung einer dedizierten Exchange-Hybridanwendung in der Entra-ID Ihres Mandanten. Bis Oktober 2025 müssen alle aktuellen und neuen Exchange Server-Hybridbereitstellungen, die umfangreiche Koexistenzfunktionen erfordern, auf die Verwendung der dedizierten Exchange-Hybridanwendung umgestellt werden, da der Exchange Online-Dienst nach diesem Datum die Verwendung von gemeinsam genutzten Dienstprinzipalen nicht mehr zulässt.

Administratoren müssen einige Änderungen vornehmen, um die dedizierte Exchange-Hybridanwendung zu aktivieren und zu verwenden. Weitere Informationen finden Sie in der Dokumentation.

Mit der Veröffentlichung der HUs für April 2025 sind wir bereit, den ersten Schritt dieser Umstellung zu beginnen.

Exchange-Hybridkunden, die eine umfassende Koexistenz mit Exchange Online benötigen, müssen zwischen der Veröffentlichung der HUs für April 2025 und Oktober 2025 Maßnahmen ergreifen. Wenn Sie nicht die Schritte zum Aktualisieren auf die dedizierte Exchange-Hybrid-App (vor Oktober 2025) und anschließend zum Aktualisieren auf das Graph-Berechtigungsmodell (vor Oktober 2026) ausführen, werden einige Exchange-Hybridfunktionen nicht mehr funktionieren (Freigabe von Terminen zwischen lokalen und Exchange Online-Benutzern, MailTips, Freigabe von Profilbildern).

Bekannte Probleme mit diesem Update

• Der Edge-Transportdienst reagiert nicht mehr und wird dann neu gestartet, wenn Exchange Server versucht, Nachrichten zu entschlüsseln, die von einer externen Quelle gesendet wurden, die durch Azure Rights Management (Azure RMS) geschützt ist.

Update-Installation

Die folgenden Update-Pfade sind verfügbar:

• Erstellen Sie eine Bestandsaufnahme Ihrer Exchange-Server, um mithilfe des Exchange Server Health Checker-Skripts festzustellen, welche Updates erforderlich sind. Durch Ausführen dieses Skripts erfahren Sie, ob auf einem Ihrer Exchange-Server Updates (CUs, SUs oder manuelle Aktionen) ausstehen.
• Installieren Sie die neueste CU. Verwenden Sie den Exchange-Update-Assistenten, um Ihre aktuelle CU und Ihre Ziel-CU auszuwählen und Anweisungen zu erhalten.
• Führen Sie nach der Installation eines Updates den Health Checker erneut aus, um zu überprüfen, ob weitere Maßnahmen erforderlich sind.
• Wenn während oder nach der Installation von Exchange Server Fehler auftreten, führen Sie das SetupAssist-Skript aus. Wenn nach den Updates etwas nicht ordnungsgemäß funktioniert, lesen Sie Fehlgeschlagene Installationen von kumulativen und Sicherheitsupdates für Exchange reparieren. Lesen Sie auch Dateiversionsfehler beim Versuch, Exchange Server-Updates zu installieren.