Nach dem Rekordmonat Juli, in dem Microsoft rund 570 Schwachstellen stopfen musste, fällt der August-Patchday auf den ersten Blick etwas kleiner aus. Doch „kleiner“ ist relativ: Mit über 400 behobenen Sicherheitslücken bewegt sich auch dieser Monat auf einem Niveau, das noch vor zwei Jahren als absoluter Ausnahmefall gegolten hätte. Dreistellige und mittlerweile fast vierstellige Patch-Zahlen sind zum Dauerzustand geworden.

Der Grund dafür ist strukturell und wird sich nicht mehr umkehren. Microsoft setzt inzwischen selbst auf KI-gestützte Systeme zur automatisierten Schwachstellensuche und hat angekündigt, dass genau das die Zahl der monatlichen Sicherheitsupdates dauerhaft nach oben treibt. Was der Codequalität langfristig guttut, bedeutet für Administratoren kurzfristig einen dauerhaft hohen Testaufwand.

Der eigentliche Unterschied zum Juli ist aber nicht die Menge, sondern die Brisanz einer einzelnen Lücke: Diesen Monat gibt es wieder einen Zero-Day, der bereits aktiv ausgenutzt wird, und zwar von einem staatlichen Akteur. Dieser Überblick zeigt, wo die Gefahr derzeit am größten ist und in welcher Reihenfolge Sie Ihre Systeme absichern sollten.

Die nackten Zahlen im Überblick

Bei den Gesamtzahlen lohnt ein genauer Blick, denn sie schwanken je nach Quelle erheblich. Microsoft selbst weist in seiner offiziellen Release-Note 421 Schwachstellen aus. Sicherheitsdienstleister wie Tenable kommen nach Abzug bestimmter Cloud- und Sonderfälle hingegen auf rund 398. Das ist eine reine Frage der Zählweise, die in den kommenden Tagen für unterschiedliche Zahlen in der Berichterstattung sorgen wird. Von diesen Lücken gelten 42 als kritisch, der ganz überwiegende Teil (355) als wichtig, eine einzelne als moderat. Innerhalb der kritischen Lücken dominiert erwartungsgemäß die Remotecodeausführung mit 37 Einträgen, hinzu kommen fünf kritische Rechteausweitungen. Für die Rollout-Planung hilfreich ist die Aufteilung nach Produkten: Allein 236 der Lücken entfallen auf Windows 11 und werden über das kumulative Update abgedeckt, weitere 98 auf Office (separate Office-Updates), gefolgt von SharePoint Server mit 30 und den Developer Tools mit 26.

Über alle Kategorien hinweg verteilen sich die Schwachstellen grob wie folgt: rund 176 Rechteausweitungen (Elevation of Privilege), etwa 110 Remotecodeausführungen (RCE), rund 86 Fälle von Informationsoffenlegung, 21 Spoofing-Lücken, 12 Denial-of-Service-Schwachstellen und 11 Umgehungen von Sicherheitsfunktionen. Besonders relevant sind in diesem Monat gleich drei Zero-Days: Eine davon wird bereits aktiv angegriffen, zwei weitere waren vor der Bereitstellung des Patches öffentlich bekannt.

Die kritischsten Brennpunkte im Detail

Wer diesen Patch-Zyklus überspringen möchte, sollte sich die folgende Liste genau ansehen. Mehrere Lücken betreffen zentrale Server-Rollen, die in praktisch jeder Windows-Domäne laufen: DNS-Server, DHCP und die Bereitstellungsdienste. Es folgt die detaillierte technische Aufarbeitung der wichtigsten Patches dieses Monats.

1. AFD.sys WinSock Elevation of Privilege (CVE-2026-68820)

CVSS-Score: 7,0

SCHWERWIEGENDKEIT: Hoch (aktiv ausgenutzt)

BEDROHUNG: Elevation of Privilege (Lokale Rechteausweitung auf SYSTEM)

EXPLOITS: Dies ist die einzige nachweislich aktiv ausgenutzte Schwachstelle dieses Monats und damit der wichtigste Patch überhaupt. Entdeckt und an Microsoft gemeldet wurde die Lücke von den Check-Point-Forschern Moshe Marelus und David Driker. Laut deren Analyse wurde sie im Rahmen gezielter Angriffe von der nordkoreanischen Lazarus-Gruppe eingesetzt, um über gefälschte Stellenangebote eine neue Variante des Kernel-Rootkits FudModule einzuschleusen. Auch Action1 stuft diese Schwachstelle als die mit Abstand wichtigste des gesamten Monats ein, schlicht weil die Ausnutzung bereits nachgewiesen ist. Kurios am Rande: Im CVSS-Vektor stuft Microsoft die Exploit-Reife formal als „unproven“ ein, benennt die Lücke gleichzeitig aber als aktiv ausgenutzt. Diesen Widerspruch hat unter anderem die Zero Day Initiative süffisant angemerkt.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle liegt im Ancillary Function Driver for WinSock (afd.sys), jenem Kernel-Treiber, der die Socket-Infrastruktur von Windows bereitstellt. Es handelt sich um einen Use-after-free-Fehler: Ein Speicherobjekt wird freigegeben und anschließend erneut referenziert. Ein lokal angemeldeter Angreifer mit niedrigen Rechten kann über eine speziell präparierte Anwendung eine Race Condition auslösen und diesen Zustand ausnutzen, um eigenen Code im Kontext des Kernels und damit mit SYSTEM-Rechten auszuführen. Eine Benutzerinteraktion ist nicht erforderlich.

AUSNUTZBARKEIT: Der Angriff setzt lokalen Zugriff und ein niedrig privilegiertes Konto voraus. Die Angriffskomplexität gilt als hoch, da der Angreifer das enge Zeitfenster der Race Condition treffen muss. Für einen staatlich unterstützten Akteur wie Lazarus ist das keine ernsthafte Hürde. Da afd.sys auf praktisch jedem Windows-System aktiv ist, ist die Angriffsfläche entsprechend groß.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Diese Lücke ist der klassische zweite Baustein einer Angriffskette. Nach dem initialen Zugang, etwa über ein manipuliertes Bewerbungsdokument, hebelt der Angreifer die Rechtetrennung des Systems aus und erlangt volle SYSTEM-Rechte. Mit dem nachgeladenen FudModule-Rootkit lassen sich anschließend Endpoint-Protection und Virenschutz blenden, Treiber manipulieren und dauerhafte, schwer auffindbare Persistenz verankern. Für Kommunen und KRITIS-nahe Einrichtungen ist der spionagegetriebene Hintergrund besonders brisant.

WORKAROUND: Einen sinnvollen technischen Workaround gibt es nicht; hier hilft nur das Einspielen des Updates. Flankierend sollte das EDR-System so konfiguriert werden, dass es verdächtige Kernel-Manipulationen und ungewöhnliche Kindprozesse erkennt. Ein konsequentes Least-Privilege-Prinzip und Application Control (zur Abwehr präparierter Dokumente aus Fake-Bewerbungen) senken das Restrisiko zusätzlich.

DRINGLICHKEIT: Höchste. Als einzige aktiv ausgenutzte Lücke des Monats gehört dieser Patch mit oberster Priorität auf alle Systeme, zuerst auf exponierte und besonders gefährdete Clients.

2. Windows User Profile Service – „LegacyHive“ (CVE-2026-62832)

CVSS-Score: 7,8

SCHWERWIEGENDKEIT: Hoch

BEDROHUNG: Elevation of Privilege (Rechteausweitung auf Administrator)

EXPLOITS: Die Schwachstelle war bereits vor Verfügbarkeit des Patches öffentlich bekannt. Sie entspricht dem als „LegacyHive“ veröffentlichten Proof-of-Concept des Sicherheitsforschers Nightmare Eclipse, also derselben Quelle, die bereits im Juni mit ihren BitLocker- und GreenPlasma-Veröffentlichungen für Aufsehen gesorgt hatte. Microsoft stuft die Ausnutzung als „eher wahrscheinlich“ ein.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist eine fehlerhafte Link-Auflösung (Improper Link Resolution / Link Following) im Windows-Benutzerprofildienst. Ein authentifizierter Angreifer, der über Zugangsdaten für ein anderes lokales Konto verfügt, kann mit einer präparierten Anwendung erzwingen, dass die Registry-Hive eines anderen Benutzers geladen wird. Über symbolische Verknüpfungen wird der Dienst dabei auf geschützte Pfade umgelenkt. Meldet sich anschließend ein Administrator an dem kompromittierten Gerät an, lassen sich auf diesem Weg Befehle mit dessen Rechten ausführen.

AUSNUTZBARKEIT: Erforderlich ist ein lokaler, authentifizierter Zugriff. Besonders relevant ist die Lücke auf Mehrbenutzer-Systemen wie Terminalservern, Citrix-Umgebungen oder geteilten Arbeitsplätzen, auf denen ohnehin mehrere Benutzerkonten existieren.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Aus einem gewöhnlichen Standardbenutzer wird ein Administrator. In Kombination mit einer Phishing-Mail ergibt sich eine zuverlässige Rechteausweitung: Sobald der Angreifer einen Fuß in der Tür hat, kann er Virenschutz deaktivieren, Anmeldedaten aus dem LSASS-Speicher auslesen und sich lateral im Netzwerk ausbreiten.

WORKAROUND: Primär gilt: patchen. Flankierend helfen ein striktes Least-Privilege-Prinzip, der Verzicht auf gemeinsam genutzte Konten sowie ein Monitoring auf das ungewöhnliche Laden fremder Registry-Hives.

DRINGLICHKEIT: Hoch. Öffentlich bekannter PoC, von Microsoft als „eher wahrscheinlich“ eingestuft.

3. Container Isolation FS Filter Driver (CVE-2026-72971)

CVSS-Score: 5,5

SCHWERWIEGENDKEIT: Hoch (öffentlich bekannt)

BEDROHUNG: Tampering (Lokale Manipulation)

EXPLOITS: Auch diese Lücke wurde vor Verfügbarkeit des Patches öffentlich bekannt; Microsoft schreibt die Entdeckung den Forschern „yhw & txz“ zu. Anders als bei den beiden vorgenannten Zero-Days stuft Microsoft die Ausnutzung hier als „unwahrscheinlich“ ein.

TECHNISCHE ZUSAMMENFASSUNG: Betroffen ist der Container Isolation FS Filter Driver (unionfs.sys), der das Overlay-Dateisystem für Windows-Container bereitstellt. Erneut liegt die Ursache in einer fehlerhaften Link-Auflösung: Über Link-Following lässt sich die Dateizugriffslogik des Treibers umlenken und für Manipulationen missbrauchen.

AUSNUTZBARKEIT: Der Angriff erfordert lokalen, authentifizierten Zugriff und ist praktisch nur auf Hosts relevant, die tatsächlich Windows-Container betreiben. Für reine Client-Arbeitsplätze ohne Container-Workloads ist das Risiko gering.

AUSWIRKUNGEN AUF DAS GESCHÄFT: In Container-Umgebungen kann die Lücke als Baustein dienen, um Dateien zu manipulieren oder Isolationsgrenzen aufzuweichen. Wo keine Container zum Einsatz kommen, ist die Angriffsfläche jedoch nicht gegeben.

WORKAROUND: Patch einspielen, insbesondere auf Container-Hosts. Umgebungen ohne Container haben hier keinen akuten Handlungsdruck.

DRINGLICHKEIT: Mittel. Öffentlich bekannt, aber als „unwahrscheinlich“ eingestuft und mit stark begrenzter Angriffsfläche.

4. Windows DNS Server Remote Code Execution (CVE-2026-62878)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / wurmfähig)

EXPLOITS: Bislang wurden weder aktive Angriffe noch eine öffentliche Veröffentlichung beobachtet, und Microsoft bewertet die Ausnutzung offiziell als „unwahrscheinlich“. Die Zero Day Initiative hält diese Einschätzung allerdings für zu optimistisch, da die Lücke wurmfähig ist. In diesem Monat wurden gleich mehrere DNS-Server-RCEs geschlossen, darunter CVE-2026-62817 (Out-of-Bounds-Write, CVSS 8,8) und CVE-2026-62820 (Race Condition, CVSS 8,1). CVE-2026-62878 ist aber mit Abstand die schwerste.

TECHNISCHE ZUSAMMENFASSUNG: Es handelt sich um einen Stack-based Buffer Overflow im Windows-DNS-Server. Ein nicht authentifizierter Angreifer kann durch ein speziell präpariertes Paket an den DNS-Dienst Code mit erhöhten Rechten ausführen, ohne jede Benutzerinteraktion.

AUSNUTZBARKEIT: Der Angriff erfolgt netzwerkbasiert, ohne Anmeldung und ohne Interaktion. Entscheidend für die Tragweite: Der Windows-DNS-Server läuft in aller Regel auf den Domänencontrollern. Eine erfolgreiche Ausnutzung trifft damit direkt das Herz des Active Directory.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf einem Domänencontroller ist der Worst Case. Der Angreifer kontrolliert damit sowohl die Namensauflösung als auch das Verzeichnis selbst und kann sich praktisch beliebig domänenweit ausbreiten. Durch die Wurmfähigkeit besteht zudem die Gefahr, dass ein einmal entwickelter Exploit sich selbstständig von System zu System weiterträgt.

WORKAROUND: Höchste Priorität beim Patchen der Domänencontroller und DNS-Server. Der DNS-Dienst sollte niemals unnötig aus dem Internet erreichbar sein, und auch die interne Exposition sollte über Segmentierung so weit wie möglich reduziert werden.

DRINGLICHKEIT: Kritisch. Domänencontroller zuerst patchen.

5. Windows Deployment Services TFTP Server RCE (CVE-2026-62893)

CVSS-Score: 9,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Aktive Angriffe sind bislang nicht bekannt, allerdings stuft Microsoft die Ausnutzung als „eher wahrscheinlich“ ein. Sowohl Action1 als auch die Zero Day Initiative heben diese Lücke ausdrücklich als besonders beachtenswert hervor.

TECHNISCHE ZUSAMMENFASSUNG: Die Schwachstelle ist ein Use-after-free-Fehler im TFTP-Server-Bestandteil der Windows-Bereitstellungsdienste (Windows Deployment Services, WDS). Ein nicht authentifizierter Angreifer kann durch präparierte Pakete an den TFTP-/WDS-Dienst eine Codeausführung auf dem Server auslösen.

AUSNUTZBARKEIT: Der Angriff erfolgt netzwerkbasiert und ohne Authentifizierung. Betroffen sind Umgebungen, die WDS für PXE-Boot und die automatisierte Betriebssystem-Bereitstellung einsetzen, in der öffentlichen Verwaltung und in größeren Domänen keineswegs selten.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf dem Deployment-Server ist deshalb so gefährlich, weil dieser Server Betriebssystem-Images an neue Clients verteilt. Ein kompromittierter WDS-Server eignet sich hervorragend für eine flächendeckende Kompromittierung, gewissermaßen eine Supply-Chain-Attacke innerhalb des eigenen OS-Rollouts.

WORKAROUND: Patch einspielen. Der WDS-/TFTP-Dienst sollte nicht exponiert werden; PXE-Netzsegmente gehören isoliert. Wird WDS nicht benötigt, sollte der Dienst deaktiviert werden.

DRINGLICHKEIT: Hoch bis kritisch, insbesondere überall dort, wo WDS aktiv im Einsatz ist.

6. Windows DHCP Server Remote Code Execution (CVE-2026-62823)

CVSS-Score: 8,8

SCHWERWIEGENDKEIT: Kritisch

BEDROHUNG: Remote Code Execution (RCE / Remotecodeausführung)

EXPLOITS: Aktive Angriffe sind derzeit nicht bekannt, Microsoft bewertet die Ausnutzung jedoch als „eher wahrscheinlich“.

TECHNISCHE ZUSAMMENFASSUNG: Ursache ist ein Heap-based Buffer Overflow im Windows-DHCP-Server. Ein nicht authentifizierter Angreifer im benachbarten Netzwerk kann durch ein manipuliertes Paket eine Codeausführung auslösen. Ergänzend hat Microsoft in diesem Monat 13 weitere, jeweils als „wichtig“ eingestufte DHCP-Server-Lücken geschlossen, darunter acht Schwachstellen zur Informationsoffenlegung (CVSS 6,5) und fünf Rechteausweitungen (CVSS 7,8).

AUSNUTZBARKEIT: Der Angriff setzt einen Standort im benachbarten Netzsegment voraus, benötigt aber keine Authentifizierung. Da der DHCP-Server-Dienst üblicherweise auf zentraler Server-Infrastruktur betrieben wird, nicht selten auf einem Domänencontroller, ist die Tragweite erheblich.

AUSWIRKUNGEN AUF DAS GESCHÄFT: Eine Remotecodeausführung auf dem DHCP-Server bringt einen zentralen Netzdienst unter die Kontrolle des Angreifers. Von dort aus lässt sich die weitere Ausbreitung im Netzwerk vorbereiten, bis hin zur vollständigen Kompromittierung der Server-Infrastruktur.

WORKAROUND: Patch einspielen und den Zugriff auf den DHCP-Dienst konsequent auf vertrauenswürdige Netzsegmente beschränken.

DRINGLICHKEIT: Hoch.

Weitere kritische Schwachstellen im Überblick

Neben den sechs ausführlich behandelten Lücken lohnt ein Blick auf mehrere weitere kritische Schwachstellen, die alle über das Netzwerk und ohne Authentifizierung angreifbar sind. Die Microsoft QUIC Remote Code Execution (CVE-2026-62815) und die Windows iSCSI Target Service Remote Code Execution (CVE-2026-65791) erreichen ebenfalls jeweils einen CVSS-Score von 9,8. Action1 weist bei der QUIC-Lücke ausdrücklich darauf hin, dass exponierte, verwundbare Dienste ein erhebliches Risiko darstellen, da weder Authentifizierung noch Benutzerinteraktion erforderlich sind. Bei den Active Directory Certificate Services wurde mit CVE-2026-62818 eine kritische RCE geschlossen (CVSS 8,8, Use-after-free), für alle Betreiber einer eigenen PKI ein Pflicht-Patch.

Aufmerksamkeit verdient auch SharePoint. CVE-2026-65665 (CVSS 8,8, Deserialisierung nicht vertrauenswürdiger Daten) ist als „eher wahrscheinlich“ eingestuft. Das wiegt schwer, denn bereits die aktiv ausgenutzte SharePoint-RCE des Vormonats wurde genutzt, um Machine Keys von On-Premises-Servern zu stehlen. Bei Exchange sticht CVE-2026-62911 heraus, eine kritische Rechteausweitung über einen Authentifizierungs-Bypass (CVSS 8,0). Action1 skizziert das Schadenspotenzial drastisch: Aus dem Zugriff auf ein einzelnes Exchange-Konto könne die Kontrolle über sämtliche Postfächer werden, samt E-Mails, Anhängen und vertraulichem Schriftverkehr. Ebenfalls beachtenswert ist eine kritische Office-RCE (CVE-2026-64898, Heap-based Buffer Overflow): Hier genügt bereits die Anzeige einer präparierten Datei im Vorschaufenster (Preview Pane), ein Klick zum Öffnen ist nicht nötig. Hinzu kommen kritische RCEs in der Grafik-Komponente (GDI+, CVE-2026-62822) sowie in der Device Health Attestation (CVE-2026-71331, CVE-2026-66802).

Ein interessanter Sonderfall ist der High Performance Computing (HPC) Pack (CVE-2026-59124): technisch ein CVSS-9,8-Fehler und als „eher wahrscheinlich“ eingestuft, aber nur als „wichtig“ klassifiziert, weil HPC nicht standardmäßig aktiv ist. Wer HPC einsetzt, sollte diese Lücke dennoch nicht auf die lange Bank schieben. Bemerkenswert ist außerdem, dass gleich drei Schwachstellen im AFD.sys-WinSock-Treiber behoben wurden. Der Treiber hat sich zu einem verlässlichen Einfallstor für Rechteausweitungen entwickelt.

Auch abseits von Microsoft war der August ein arbeitsreicher Monat. Die schwerste Lücke überhaupt fand sich bei SAP: eine Autorisierungsschwachstelle im Data Hub Adapter der SAP Commerce Cloud (CVE-2026-58231) mit dem Höchstwert CVSS 10,0. Hinzu kamen weitere kritische SAP-Fixes, darunter eine Code-Injection in Manufacturing Integration and Intelligence (CVE-2026-44772, CVSS 9,9). N-able patchte eine bereits aktiv ausgenutzte Authentifizierungs-Umgehung in N-central, Metabase eine aktiv ausgenutzte SQL-Injection. Dazu kamen Updates von Adobe, Cisco (unter anderem ClamAV), VMware (Avi Load Balancer) und TP-Link (Omada).

Patchmanagement im Zeitalter von KI: Die Spielregeln ändern sich

Der August bestätigt, was sich seit Monaten abzeichnet: Manuelles Patchmanagement „mal eben am Wochenende“ ist endgültig Geschichte. Wenn Microsoft selbst KI einsetzt, um Schwachstellen schneller zu finden, dann tun Angreifer das erst recht. Sie nutzen dieselbe Technologie, um veröffentlichte Patches per Reverse Engineering in kürzester Zeit zu analysieren und passende Exploits zu bauen. Das Zeitfenster zwischen Veröffentlichung und aktiver Ausnutzung schrumpft rasant, wie die AFD.sys-Lücke in diesem Monat einmal mehr zeigt.

Für Organisationen, gerade in der öffentlichen Verwaltung und im KMU-Umfeld, ist ein strukturierter, automatisierter und priorisierter Rollout-Prozess damit keine Kür mehr, sondern überlebenswichtig. Nicht zuletzt die verschärften Anforderungen der NIS-2-Richtlinie machen einen nachweisbaren, dokumentierten Patch-Prozess zur Pflicht.

Handlungsempfehlungen für Ihre IT-Infrastruktur

Priorisieren Sie in diesem Monat zuerst Ihre zentrale Server-Infrastruktur. Die kritischen RCE-Lücken in DNS-Server, DHCP-Server und den Bereitstellungsdiensten betreffen Rollen, die typischerweise auf Ihren Domänencontrollern und zentralen Servern laufen. Ein kompromittierter DC bedeutet den Verlust der gesamten Domäne. Diese Systeme gehören daher an den Anfang jeder Rollout-Welle.

Kümmern Sie sich unmittelbar danach um die aktiv ausgenutzte AFD.sys-Zero-Day-Lücke auf Ihren Clients. Da diese Schwachstelle bereits nachweislich für Angriffe verwendet wird, sollten insbesondere exponierte und risikobehaftete Endgeräte zeitnah abgesichert werden. Ein reines „Später erledigen wir das im normalen Zyklus“ ist bei einer aktiv ausgenutzten Lücke keine vertretbare Option.

Führen Sie den Rollout trotz der Dringlichkeit unbedingt in kontrollierten Wellen durch. Bei über 400 Schwachstellen und dem entsprechend großen Umfang an Codeänderungen ist das Risiko von Kompatibilitätsproblemen erhöht. Testen Sie die Updates zuerst auf einer repräsentativen Gruppe von Testgeräten, bevor Sie sie in der Fläche verteilen. Die Priorisierung nach Kritikalität und die schnelle Verteilung dürfen nicht zu Lasten der Betriebsstabilität gehen.

Verifizieren Sie zuletzt den tatsächlichen Update-Status. Verlassen Sie sich nicht allein auf die Standardanzeige von Windows Update, sondern nutzen Sie professionelle Asset- und Compliance-Werkzeuge, um sicherzustellen, dass die KB-Stände auf allen Systemen lückenlos aktiv sind. Gerade bei den serverseitigen Lücken zählt jeder ungepatchte Host.

Neuerungen abseits der Sicherheit

Neben den reinen Sicherheitsfixes bringt das August-Update auch die Funktionsneuerungen des optionalen Juli-Vorschauupdates in die Fläche und erreicht mit dem Pflichtupdate nun alle Nutzer. Die sichtbarste Änderung betrifft den Datei-Explorer: Dateigrößen werden endlich nicht mehr ausschließlich in Kilobyte angezeigt, sondern je nach Umfang auch in Megabyte und Gigabyte. Zusätzlich lassen sich Ordner jetzt per mittlerer Maustaste direkt als neuer Tab im selben Fenster öffnen, und auch die Dateivorschau wurde überarbeitet.

Darüber hinaus verbessert Microsoft die Windows-Suche, die nun auch bei unklaren oder fehlerhaften Eingaben treffsicherer arbeitet und erstmals Dateinamen mit nur zwei Zeichen unterstützt. Windows Hello Enhanced Sign-in Security (ESS) unterstützt ab sofort kompatible externe Fingerabdruckleser, für Umgebungen mit biometrischer Anmeldung eine praktische Erweiterung. Und die Sprachsteuerung Voice Access erhält mit „Voice Isolation“ eine Funktion, die Hintergrundgeräusche und fremde Stimmen herausfiltert, um Sprachbefehle zuverlässiger zu erkennen. Wie immer bündeln die Updates zudem neue Secure-Boot-Zertifikate, deren Verteilung sich über die kommenden Monate erstreckt.

Exchange Server: ein separates Sicherheitsupdate

Für Exchange Server liefert Microsoft am August-Patchday wie üblich ein eigenständiges Sicherheitsupdate aus, das unabhängig von den kumulativen Windows-Updates eingespielt werden muss. Das August-SU schließt sieben Schwachstellen in Exchange Server, von denen Microsoft genau eine als kritisch einstuft: die bereits erwähnte Rechteausweitung CVE-2026-62911 (CVSS 8,0). Aktiv ausgenutzt wird nach aktuellem Stand keine der sieben Lücken.

Bereitgestellt werden die Updates für Exchange Server 2016, Exchange Server 2019 sowie die Exchange Server Subscription Edition (SE). Exchange Online ist bereits geschützt. Hier besteht kein Handlungsbedarf, abgesehen von der Aktualisierung vorhandener On-Premises-Server und der Workstations mit den Exchange-Verwaltungstools. Wichtig für Bestandsumgebungen: Für Exchange 2016 und 2019 gibt es die Updates ausschließlich über das kostenpflichtige ESU-Programm (Phase 2). Wer dort keine Lizenz gebucht hat, erhält das August-SU nicht und verbleibt sicherheitstechnisch auf dem Stand von Juli 2025, ein weiterer deutlicher Fingerzeig, den Umstieg auf Exchange Server SE einzuplanen.

Für das August-Update selbst sind bislang keine Probleme bekannt. Bestehen bleibt allerdings ein bereits mit dem Juni-SU eingeführtes Verhalten: In Hybrid-Umgebungen können nach dessen Installation sogenannte Wrapper-Nachrichten in Shared Mailboxes auftauchen; Microsoft führt dies weiterhin als bekanntes Problem. Wer eine Hybrid-Konfiguration betreibt, sollte nach der Installation ein Auge darauf haben. Wie bei jedem Exchange-SU gilt außerdem: Das Update über eine administrative Eingabeaufforderung installieren, um unvollständige Installationen durch fehlende Berechtigungen zu vermeiden.

Wer mehrere Exchange-Server betreibt, sollte den Patchday ohnehin zum Anlass nehmen, den Exchange Health Checker laufen zu lassen. Das Skript zeigt neben dem Patchstand auch gleich, ob noch manuelle Schritte offen sind. Seit dem Juli-2026-Update prüft es zusätzlich, ob die längst abgekündigten Sicherheitsgruppen Exchange Domain Servers und Exchange Enterprise Servers noch im Active Directory existieren. Beide stammen aus Zeiten von Exchange 2000/2003, werden seit Exchange 2007 nicht mehr verwendet und liegen in über Jahre gewachsenen Umgebungen häufig noch in der OU „Users“. Das ist ausdrücklich kein reines Aufräumthema: Die Gruppen besitzen im Active Directory teils weitreichende Berechtigungen wie Write All Properties, ListChildren oder vereinzelt WriteDacl auf OUs und Domänenobjekten, deutlich mehr, als die aktuellen Exchange-Sicherheitsgruppen benötigen. Solange sie existieren, sind sie ein lohnendes Angriffsziel: Wer ihre Mitgliedschaft manipulieren kann, erbt diese Altrechte gleich mit. Microsoft empfiehlt daher, die Gruppen zu entfernen, und zwar selbst dann, wenn der letzte On-Premises-Exchange bereits abgebaut wurde.

Update-Pakete für Windows-Clients und -Server

Die folgende Übersicht fasst die kumulativen Updates dieses Patchdays für die noch unterstützten Windows-Versionen zusammen. Alle Pakete sind kumulativ und enthalten sämtliche Sicherheitsfixes bis zum Patchday.

Zu beachten: Windows 10 22H2 ist seit Oktober 2025 aus dem regulären Support gefallen; Sicherheitsupdates gibt es nur noch im Rahmen des ESU-Programms. Für Windows Server 2012/R2 ist ebenfalls eine ESU-Lizenz erforderlich, und Windows Server 23H2 hat den Support im Mai 2026 verlassen.

Ausgewählte kritische Sicherheitsupdates vom Patch Tuesday im August 2026

Die folgende Tabelle listet eine Auswahl der wichtigsten kritischen Schwachstellen dieses Monats. Die vollständige Liste aller rund 400 behobenen CVEs finden Sie im Microsoft Security Update Guide sowie in der Gesamtübersicht bei BleepingComputer.

Hinweis: Diese Tabelle stellt eine kuratierte Auswahl dar und erhebt keinen Anspruch auf Vollständigkeit. Maßgeblich ist stets der offizielle Microsoft Security Update Guide.

Microsoft hat diesen Monat richtig ausgeholt. Mit 167 geschlossenen Sicherheitslücken ist der April 2026 einer der umfangreichsten Patchdays seit langem. Aber wie so oft gilt: Wo viel gehobelt wird, fallen Späne – besonders Admins von Windows Server sollten diesen Monat zweimal hinschauen, bevor sie auf „Neustart“ klicken.

Die kritischen Lücken (Zero-Days)

Ganz oben auf der Liste stehen zwei Schwachstellen, die bereits vorab bekannt waren oder aktiv ausgenutzt werden:

1. CVE-2026-32201 (Microsoft SharePoint Server): Diese Spoofing-Lücke wird bereits für Angriffe genutzt. Wer SharePoint im Einsatz hat, sollte hier keine Zeit verlieren.
2. CVE-2026-33825 (Microsoft Defender): Eine Schwachstelle zur Ausweitung von Berechtigungen (Elevation of Privilege). Hier bekommt ein Angreifer SYSTEM-Rechte. Microsoft hat den Fix bereits über die Defender-Plattform-Updates (Version 4.18.26030.3011) ausgerollt, aber eine manuelle Prüfung schadet nicht.

Insgesamt gibt es acht als „Kritisch“ eingestufte Fehler, die meisten davon erlauben Remote Code Execution (RCE) – also das Ausführen von Schadcode aus der Ferne.

CVE-2026-33827 – Sicherheitslücke in Windows TCP/IP, die die Ausführung von Remote-Code ermöglicht

„Ein einziges fehlerhaftes Paket reicht aus – diese Schwachstelle ermöglicht es Angreifern, den Netzwerkzugriff zu einer vollständigen Systemkompromittierung zu nutzen, ohne sich jemals anzumelden.“

Diese kritische Sicherheitslücke im Windows-TCP/IP-Stack wird durch eine Race Condition bei der Behandlung gemeinsam genutzter Ressourcen während der gleichzeitigen Ausführung verursacht. Ein nicht authentifizierter Angreifer kann diese Schwachstelle ausnutzen, indem er speziell gestaltete IPv6-Pakete an ein Zielsystem mit aktiviertem IPSec sendet, wodurch potenziell eine Remote-Codeausführung erreicht werden kann. Obwohl ein präzises Timing erforderlich ist, sind die Auswirkungen schwerwiegend und ermöglichen die vollständige Kontrolle über betroffene Systeme.

CVSS-Score: 8,1
SCHWERWIEGUNG: Kritisch
BEDROHUNG: Remote-Code-Ausführung über Race Condition im TCP/IP-Stack

EXPLOITS:

Derzeit sind keine öffentlichen Exploits oder Proof-of-Concept-Codes bekannt, und die Schwachstelle wurde vor der Veröffentlichung nicht öffentlich bekannt gegeben. Eine Ausnutzung wird aufgrund der Komplexität, die Race Condition zu gewinnen, als eher unwahrscheinlich angesehen.

TECHNISCHE ZUSAMMENFASSUNG:

Die Schwachstelle entsteht durch eine fehlerhafte Synchronisation bei der Verarbeitung gemeinsam genutzter Ressourcen innerhalb des Windows-TCP/IP-Stacks, insbesondere im Zusammenhang mit der IPv6- und IPSec-Verarbeitung. Aufgrund einer Race Condition können mehrere Threads, die auf dieselbe Ressource zugreifen, zu Speicherbeschädigungen oder inkonsistenten Systemzuständen führen. Ein Angreifer kann dies ausnutzen, indem er speziell gestaltete IPv6-Pakete sendet, die darauf ausgelegt sind, die Race Condition im richtigen Moment auszulösen. Bei Erfolg kann dies zur Ausführung von beliebigem Code im Kernel-Kontext führen, wodurch der Angreifer vollständige Kontrolle über das System erlangt.

AUSNUTZBARKEIT:

• Betrifft Windows-Systeme, auf denen IPv6 und IPSec aktiviert sind.
• Die Ausnutzung erfordert keine Authentifizierung, aber ein präzises Timing, um die Race Condition zu gewinnen.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Diese Sicherheitslücke stellt eine Bedrohung mit hohen Auswirkungen dar, da sie es Angreifern ermöglicht, Systeme aus der Ferne ohne Anmeldedaten oder Benutzerinteraktion zu kompromittieren. Eine erfolgreiche Ausnutzung könnte zur vollständigen Übernahme des Systems, zum Einsatz von Ransomware, zur lateralen Bewegung über Netzwerke hinweg und zur Störung kritischer Dienste führen. Trotz hoher Komplexität stellt der potenzielle Schaden ein ernstes Unternehmensrisiko dar.

WORKAROUND:

Falls ein Patch nicht sofort verfügbar ist:

• Deaktivieren Sie IPv6, sofern nicht erforderlich
• Deaktivieren Sie IPSec, wo dies möglich ist
• Beschränken Sie die Netzwerkexposition auf vertrauenswürdige Quellen

DRINGLICHKEIT:

Dies ist eine kritische Sicherheitslücke zur Remote-Codeausführung, die keine Authentifizierung oder Benutzerinteraktion erfordert. Auch wenn die Ausnutzung komplex ist, erhöht die Möglichkeit einer vollständigen Kompromittierung des Systems durch ein einziges Netzwerkpaket das Risiko erheblich. Systeme, die nicht vertrauenswürdigen Netzwerken ausgesetzt sind, sind besonders gefährdet, weshalb eine schnelle Bereitstellung von Patches unerlässlich ist, um potenzielle groß angelegte Angriffe zu verhindern.

CVE-2026-33826 – Sicherheitslücke bei der Remote-Codeausführung in Windows Active Directory

„Ein vertrauenswürdiger Domänenbenutzer kann zu einem unsichtbaren Angreifer werden – diese Schwachstelle macht den routinemäßigen Verzeichniszugriff zu einer Ausgangsbasis für die vollständige Kompromittierung des Systems.“

Diese Sicherheitslücke in Windows Active Directory wird durch eine unsachgemäße Eingabevalidierung verursacht und ermöglicht es einem authentifizierten Angreifer innerhalb derselben Domäne, beliebigen Code auf einem Zielsystem auszuführen. Durch das Senden speziell gestalteter RPC-Anfragen kann ein Angreifer die Schwachstelle ausnutzen, um die Kontrolle über betroffene Server zu erlangen, was dies zu einer ernsthaften Bedrohung in Unternehmensumgebungen macht, in denen Vertrauensgrenzen von entscheidender Bedeutung sind.

CVSS-Score: 8,0
SCHWERWIEGUNG: Kritisch
BEDROHUNG: Remote-Code-Ausführung durch unsachgemäße Eingabevalidierung bei der RPC-Verarbeitung in Active Directory

EXPLOITS:

Derzeit sind keine öffentlichen Exploits oder Proof-of-Concept-Codes bekannt, und die Schwachstelle wurde vor der Veröffentlichung nicht öffentlich bekannt gegeben. Aufgrund der geringen Komplexität des Angriffs wird eine Ausnutzung jedoch als wahrscheinlich eingestuft.

TECHNISCHE ZUSAMMENFASSUNG:

Die Schwachstelle resultiert aus einer unzureichenden Validierung von Eingabedaten innerhalb der RPC-Verarbeitungsmechanismen von Active Directory. Ein authentifizierter Angreifer in derselben Domäne kann speziell gestaltete RPC-Aufrufe an einen Zielserver senden. Aufgrund der unzureichenden Validierung können böswillige Eingaben so verarbeitet werden, dass es zu Speicherbeschädigungen oder unbeabsichtigten Ausführungswegen kommt. Dies kann es dem Angreifer ermöglichen, beliebigen Code im Kontext des RPC-Dienstes auszuführen, je nach Dienstkonfiguration möglicherweise mit erhöhten Berechtigungen.

AUSNUTZBARKEIT:

• Betrifft Windows-Systeme, auf denen Active Directory-Dienste ausgeführt werden.
• Erfordert authentifizierten Zugriff mit geringen Berechtigungen innerhalb derselben Domäne (angrenzendes Netzwerk).
• Die Ausnutzung ist aufgrund der geringen Komplexität unkompliziert.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Diese Schwachstelle ist in Unternehmensumgebungen besonders gefährlich, da sie es Angreifern, die bereits einen Fuß in das Netzwerk gesetzt haben, ermöglicht, ihren Angriff rasch zu eskalieren. Eine Kompromittierung der Active Directory-Infrastruktur kann zu einer vollständigen Übernahme der Domäne, unbefugtem Zugriff auf sensible Systeme und weitreichenden Störungen führen. Sie untergräbt das zentrale Vertrauensmodell der Identitätsverwaltung in Unternehmen.

WORKAROUND:

Falls ein Patch nicht sofort verfügbar ist:

• Beschränken Sie den RPC-Zugriff ausschließlich auf vertrauenswürdige Systeme
• Überwachen und prüfen Sie ungewöhnliche RPC-Aktivitäten
• Wenden Sie eine strenge Netzwerksegmentierung innerhalb der Domäne an

DRINGLICHKEIT:

Diese Schwachstelle verbindet geringe Angriffskomplexität mit hohen Auswirkungen, was sie in realen Szenarien besonders gefährlich macht. Sobald ein Angreifer auch nur minimalen Domänenzugriff erlangt hat, kann er diese Schwachstelle schnell ausnutzen, um sich lateral zu bewegen und Code auf kritischen Servern auszuführen. Active Directory ist ein hochkarätiges Ziel, und eine Verzögerung der Patches erhöht das Risiko einer weitreichenden Kompromittierung.

CVE-2026-33824 – Sicherheitslücke bei der Remote-Codeausführung in den Windows Internet Key Exchange (IKE)-Dienst-Erweiterungen

„Das ist genau die Art von Schwachstelle, auf die Angreifer warten – still, aus der Ferne und verheerend.“

Diese kritische Sicherheitslücke betrifft den Windows Internet Key Exchange (IKE)-Dienst, insbesondere IKEv2, wo eine unsachgemäße Speicherverwaltung eine Double-Free-Situation ermöglicht. Ein Angreifer kann diese Schwachstelle aus der Ferne ausnutzen, indem er speziell gestaltete Netzwerkpakete sendet, was zur vollständigen Remote-Codeausführung führt. Da keine Authentifizierung oder Benutzerinteraktion erforderlich ist, stellt dieses Problem ein ernstes Risiko für exponierte Systeme dar, insbesondere für solche, die VPN- oder IPsec-Dienste nutzen.

CVSS-Score: 9,8
SCHWERWIEGUNG: Kritisch
BEDROHUNG: Remote-Codeausführung

EXPLOITS:

Es wurden keine öffentlichen Exploits oder Proof-of-Concept-Code (PoC) beobachtet. Die Schwachstelle wurde nicht öffentlich bekannt gegeben und wird derzeit als wenig wahrscheinlich einzunutzen eingestuft, obwohl ihre Eigenschaften sie für Angreifer äußerst attraktiv machen.

TECHNISCHE ZUSAMMENFASSUNG:

Die Schwachstelle wird durch eine Double-Free-Bedingung (CWE-415) in den Windows-IKE-Dienst-Erweiterungen verursacht. Diese tritt auf, wenn das System die Speicherfreigabe während der Verarbeitung von IKEv2-Paketen fehlerhaft handhabt. Ein Angreifer kann speziell gestaltete Pakete senden, um das Double-Free auszulösen, was zu einer Speicherbeschädigung führt. Diese Beschädigung kann ausgenutzt werden, um beliebigen Code im Kontext des Systems auszuführen, wodurch potenziell die vollständige Kontrolle über den betroffenen Rechner erlangt wird. Da der Angriff über das Netzwerk erfolgt und keine Authentifizierung erfordert, vergrößert er die Angriffsfläche erheblich.

AUSNUTZBARKEIT:

• Betrifft Windows-Systeme, auf denen IKEv2 aktiviert ist.
• Die Ausnutzung erfolgt remote über speziell gestaltete UDP-Pakete, die an die Ports 500 und 4500 gesendet werden.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Diese Schwachstelle stellt eine ernsthafte Bedrohung für Unternehmensumgebungen dar, insbesondere für solche, die für die sichere Kommunikation auf VPN oder IPsec angewiesen sind. Eine erfolgreiche Ausnutzung kann zu einer vollständigen Kompromittierung des Systems führen, wodurch Angreifer sensible Daten stehlen, den Betrieb stören oder sich lateral im Netzwerk bewegen können. Da keine Benutzerinteraktion erforderlich ist, ist dies besonders gefährlich für Systeme mit Internetanbindung.

WORKAROUND:

• Blockieren Sie eingehenden Datenverkehr auf den UDP-Ports 500 und 4500, wenn IKE nicht benötigt wird.
• Wenn IKE erforderlich ist, beschränken Sie den Zugriff auf diese Ports ausschließlich auf vertrauenswürdige IP-Adressen.

DRINGLICHKEIT:

Diese Schwachstelle setzt Systeme einer nicht authentifizierten Remote-Codeausführung aus, ohne dass eine Benutzerinteraktion erforderlich ist. Die geringe Komplexität des Angriffs und die Auswirkungen auf das gesamte System machen sie zu einem idealen Kandidaten für eine schnelle Ausnutzung. Systeme mit Internetverbindung, auf denen IKEv2-Dienste laufen, sind besonders gefährdet, und eine Verzögerung der Patch-Bereitstellung erhöht das Risiko potenzieller großflächiger Angriffe.

CVE-2026-33115 – Schwachstelle in Microsoft Word zur Remote-Codeausführung

„Eine einfache Dokumentvorschau kann unbemerkt eine vollständige Kompromittierung des Systems auslösen – dieser Fehler verwandelt alltägliche Dateien in versteckte Angriffswaffen.“

Diese Sicherheitslücke in Microsoft Word wird durch einen Use-after-free-Speicherfehler verursacht, der es einem Angreifer ermöglicht, beliebigen Code auf einem lokalen System auszuführen. Obwohl sie als lokaler Angriffsvektor eingestuft ist, kann sie durch bösartige Dokumente ausgelöst werden, unter anderem über den Vorschaubereich, was sie in realen Szenarien, in denen Benutzer mit nicht vertrauenswürdigen Dateien interagieren, äußerst gefährlich macht.

CVSS-Score: 8,4
SCHWERWIEGUNG: Kritisch
BEDROHUNG: Remote-Codeausführung über eine „Use-after-free“-Speicherbeschädigung in Microsoft Word

EXPLOITS:

Derzeit sind keine öffentlichen Exploits oder Proof-of-Concept-Codes bekannt, und die Sicherheitslücke wurde vor der Veröffentlichung nicht öffentlich bekannt gegeben. Eine Ausnutzung wird zum jetzigen Zeitpunkt als unwahrscheinlich angesehen.

TECHNISCHE ZUSAMMENFASSUNG:

Die Sicherheitslücke ist auf eine fehlerhafte Speicherverwaltung in Microsoft Word zurückzuführen, insbesondere auf eine „Use-after-free“-Situation. Diese tritt auf, wenn Speicher freigegeben wird, aber von der Anwendung weiterhin referenziert wird. Ein Angreifer kann ein bösartiges Word-Dokument erstellen, das die Muster der Speicherzuweisung und -freigabe manipuliert. Wenn das Dokument geöffnet – oder sogar in der Vorschau angezeigt – wird, greift die Anwendung möglicherweise auf freigegebenen Speicher zu, was zu einer Speicherbeschädigung führt. Dies kann es dem Angreifer ermöglichen, beliebigen Code im Kontext des Benutzers auszuführen, der Word ausführt.

AUSNUTZBARKEIT:

• Betrifft Microsoft Word und zugehörige Office-Komponenten.
• Keine Authentifizierung erforderlich. Die Ausnutzung kann durch das Öffnen oder Anzeigen einer Vorschau eines bösartigen Dokuments erfolgen.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Diese Sicherheitslücke stellt ein erhebliches Risiko dar, da sie gängiges Benutzerverhalten ausnutzt – das Öffnen oder Anzeigen einer Vorschau von Dokumenten. Angreifer können Phishing- oder Dateifreigabetechniken nutzen, um bösartige Dateien zu verbreiten, was zur Kompromittierung von Endgeräten führt. Nach der Ausnutzung können Angreifer Malware installieren, sensible Daten stehlen oder sich lateral innerhalb der Organisation bewegen. Der Vektor „Vorschau-Fenster“ erhöht das Risiko, da er die Notwendigkeit einer expliziten Benutzeraktion verringert.

WORKAROUND:

Wenn ein Patch nicht sofort verfügbar ist:

• Deaktivieren Sie das Vorschau-Fenster im Windows Explorer
• Vermeiden Sie das Öffnen nicht vertrauenswürdiger oder unaufgefordert zugesandter Dokumente
• Nutzen Sie die Funktionen „Geschützte Ansicht“ und Anwendungs-Sandboxing

DRINGLICHKEIT:

Dies ist eine kritische Sicherheitslücke, die eine weit verbreitete Anwendung betrifft, mit dem zusätzlichen Risiko einer Ausnutzung über den Vorschaubereich. Die Möglichkeit, die Codeausführung mit minimaler oder gar keiner Benutzerinteraktion auszulösen, erhöht das Risiko erheblich, insbesondere in Phishing-Szenarien. Unternehmen sollten der Installation von Patches auf Endgeräten Priorität einräumen, um das Risiko einer weitreichenden Kompromittierung zu verringern.

CVE-2026-33114 – Sicherheitslücke in Microsoft Word zur Ausführung von Remote-Code

„Ein einziger nicht vertrauenswürdiger Zeiger kann ein harmloses Dokument in eine vollständige Systemübernahme verwandeln – diese Schwachstelle ermöglicht es Angreifern, alltägliche Dateien als Waffe einzusetzen.“

Diese Sicherheitslücke in Microsoft Word wird durch eine Dereferenzierung eines nicht vertrauenswürdigen Zeigers verursacht, wodurch ein Angreifer beliebigen Code auf einem lokalen System ausführen kann. Obwohl sie als lokaler Angriff eingestuft wird, kann sie durch bösartige Dokumente ausgelöst werden, unter anderem über den Vorschaubereich, was sie zu einer ernsthaften Bedrohung in gängigen Benutzer-Workflows im Zusammenhang mit der Dokumentenverarbeitung macht.

CVSS-Score: 8,4
SCHWERWIEGUNG: Kritisch
BEDROHUNG: Remote-Codeausführung durch Dereferenzierung eines nicht vertrauenswürdigen Zeigers in Microsoft Word

EXPLOITS:

Derzeit sind keine öffentlichen Exploits oder Proof-of-Concept-Codes bekannt, und die Sicherheitslücke wurde vor der Veröffentlichung nicht öffentlich bekannt gegeben. Eine Ausnutzung wird zum jetzigen Zeitpunkt als unwahrscheinlich angesehen.

TECHNISCHE ZUSAMMENFASSUNG:

Die Sicherheitslücke entsteht durch unsachgemäße Handhabung von Zeigern in Microsoft Word. Konkret kann die Anwendung einen Zeiger dereferenzieren, der auf nicht vertrauenswürdigen oder ungültigen Speicher verweist. Ein Angreifer kann ein bösartiges Dokument erstellen, das Zeigerreferenzen während der Verarbeitung manipuliert. Wenn das Dokument geöffnet oder in der Vorschau angezeigt wird, versucht Word möglicherweise, auf Speicherorte zuzugreifen, die vom Angreifer kontrolliert oder beeinflusst werden, was zu einer Speicherbeschädigung führt. Dies kann letztendlich die Ausführung von beliebigem Code im Kontext des Benutzers ermöglichen.

AUSNUTZBARKEIT:

• Betrifft Microsoft Word und zugehörige Office-Komponenten.
• Keine Authentifizierung erforderlich. Die Ausnutzung kann durch das Öffnen oder Anzeigen einer Vorschau eines speziell gestalteten Dokuments erfolgen.

AUSWIRKUNGEN AUF DAS UNTERNEHMEN:

Diese Sicherheitslücke ist gefährlich, da sie normales Benutzerverhalten ausnutzt – die Interaktion mit Dokumenten. Angreifer können schädliche Dateien über Phishing oder gemeinsam genutzte Laufwerke verbreiten, was zur Kompromittierung von Endgeräten führt. Der Vektor „Vorschau-Fenster“ erhöht das Risiko, da er die Notwendigkeit einer Benutzerinteraktion verringert. Eine erfolgreiche Ausnutzung kann zu Datendiebstahl, der Verbreitung von Malware und lateraler Bewegung innerhalb des Unternehmens führen.

WORKAROUND:

Wenn ein Patch nicht sofort installiert werden kann:

• Deaktivieren Sie den Vorschaubereich im Windows Explorer
• Vermeiden Sie das Öffnen von Dateien aus nicht vertrauenswürdigen Quellen
• Verwenden Sie die geschützte Ansicht und Endpunkt-Schutzmaßnahmen

DRINGLICHKEIT:

Diese Sicherheitslücke betrifft eine weit verbreitete Produktivitätsanwendung und kann mit minimaler Benutzerinteraktion ausgelöst werden, unter anderem über den Vorschaubereich.

Die Kombination aus hoher Auswirkung und einfacher Ausnutzung durch Phishing-Kampagnen erhöht die Wahrscheinlichkeit einer Ausnutzung in realen Szenarien, wodurch eine zeitnahe Patching-Maßnahme von entscheidender Bedeutung ist.

CVE-2026-32190 – Sicherheitslücke in Microsoft Office zur Ausführung von Remote-Code

„Diese Schwachstelle verwandelt alltägliche Dokumente in stille Waffen – und löst eine vollständige Kompromittierung des Systems ohne einen einzigen Klick aus.“

Diese kritische Sicherheitslücke in Microsoft Office wird durch einen Use-after-free-Speicherfehler verursacht, der es einem Angreifer ermöglicht, beliebigen Code auf einem lokalen System auszuführen. Obwohl eine lokale Ausführung erforderlich ist, bleibt das Risiko aufgrund von Angriffsvektoren wie dem Vorschaufenster, das schädliche Inhalte automatisch verarbeiten kann, hoch. Eine erfolgreiche Ausnutzung kann Angreifern die vollständige Kontrolle über betroffene Systeme verschaffen, was dies zu einer ernsthaften Bedrohung in Umgebungen macht, in denen häufig mit Office-Dateien gearbeitet wird.

CVSS-Score: 8,4
SCHWERWIEGUNG: Kritisch
BEDROHUNG: Remote-Code-Ausführung

EXPLOITS:

Es wurden keine öffentlichen Exploits oder Proof-of-Concept-Code (PoC) identifiziert. Die Schwachstelle wurde noch nicht öffentlich bekannt gegeben und wird derzeit als weniger wahrscheinlich ausnutzbar eingestuft, obwohl ähnliche Schwachstellen in der Vergangenheit schnell als Angriffswaffen genutzt wurden.

TECHNISCHE ZUSAMMENFASSUNG:

Diese Sicherheitslücke wird als „Use-after-free“-Problem (CWE-416) klassifiziert, bei dem Microsoft Office den Speicher nach dessen Freigabe nicht ordnungsgemäß verwaltet. Wenn eine speziell gestaltete Datei verarbeitet wird, greift die Anwendung möglicherweise weiterhin auf bereits freigegebenen Speicher zu. Ein Angreifer kann diesen Zustand ausnutzen, um den Speicher zu beschädigen und beliebigen Code auszuführen. Insbesondere kann das Vorschaufenster als Angriffsvektor dienen, was bedeutet, dass die Schwachstelle ausgelöst werden kann, ohne die Datei explizit zu öffnen, was das Risiko einer versehentlichen Offenlegung erhöht.

AUSNUTZBARKEIT:

• Betrifft unterstützte Versionen von Microsoft Office vor der gepatchten Version.
• Die Ausnutzung erfolgt, wenn eine schädliche Datei lokal geöffnet oder in der Vorschau angezeigt wird, einschließlich über das Vorschaufenster.

AUSWIRKUNGEN AUF DAS GESCHÄFT:

Diese Sicherheitslücke stellt eine erhebliche Bedrohung für Unternehmen dar, die für ihren täglichen Betrieb auf Microsoft Office angewiesen sind. Angreifer können bösartige Dokumente nutzen, um die vollständige Kontrolle über Benutzersysteme zu erlangen, was zu Datendiebstahl, dem Einsatz von Ransomware oder lateraler Bewegung innerhalb des Netzwerks führen kann. Der Angriffsvektor über das Vorschaufenster erhöht die Wahrscheinlichkeit einer versehentlichen Kompromittierung, selbst bei vorsichtigen Benutzern.

WORKAROUND:

• Deaktivieren Sie das Vorschaufenster in E-Mail-Clients und Datei-Explorern, wo dies möglich ist.
• Vermeiden Sie das Öffnen oder Anzeigen von Dateien aus nicht vertrauenswürdigen oder unbekannten Quellen.

DRINGLICHKEIT:

Diese Schwachstelle ermöglicht in bestimmten Szenarien, wie z. B. beim Rendern im Vorschaufenster, die Ausführung von Code mit erheblichen Auswirkungen, ohne dass eine Benutzerinteraktion erforderlich ist. Da sie typische Vorsichtsmaßnahmen von Benutzern umgehen kann, ist sie besonders gefährlich bei Phishing-Kampagnen und gezielten Angriffen. Die rasche Bereitstellung von Patches ist entscheidend, um eine Ausnutzung über gängige Dokumenten-Workflows zu verhindern.

CVE-2026-32157 – Sicherheitslücke zur Remote-Codeausführung im Remote-Desktop-Client

„Eine Verbindung zum falschen Server kann schon ausreichen – diese Schwachstelle ermöglicht es Angreifern, eine vertrauenswürdige Remote-Sitzung in eine vollständige Systemübernahme zu verwandeln.“

Diese kritische Schwachstelle im Remote-Desktop-Client wird durch ein „Use-after-free“-Speicherproblem verursacht, das ausgenutzt werden kann, wenn ein Benutzer eine Verbindung zu einem bösartigen oder kompromittierten Remote-Desktop-Server herstellt. Die Schwachstelle ermöglicht es einem Angreifer, über das Netzwerk beliebigen Code auf dem Client-Rechner auszuführen. Obwohl eine Benutzerinteraktion erforderlich ist, nutzt der Angriff vertrauenswürdige Workflows, was ihn in realen Szenarien äußerst effektiv macht.

CVSS-Score: 8,8
SCHWERWIEGUNG: Kritisch
BEDROHUNG : Remote-Codeausführung

EXPLOITS:

Es wurden keine öffentlichen Exploits oder Proof-of-Concept-Code (PoC) gemeldet. Die Schwachstelle ist nicht öffentlich bekannt und wird derzeit als wenig wahrscheinlich einzunutzen eingestuft, obwohl sie ein hohes Potenzial für gezielte Angriffe bietet.

TECHNISCHE ZUSAMMENFASSUNG:

Diese Schwachstelle resultiert aus einer „Use-after-free“-Situation (CWE-416) im Remote-Desktop-Client.

Sicherheitsupdates vom Patch Tuesday im April 2026

Nachfolgend finden Sie die vollständige Liste der behobenen Sicherheitslücken in den Updates vom Patch Tuesday im April 2026.

Microsoft startet das Jahr 2026 mit einem massiven Sicherheitspaket. Am ersten Patchday des Jahres, dem 13. Januar 2026, wurden insgesamt 114 Sicherheitslücken geschlossen. Besonders besorgniserregend sind dabei drei Zero-Day-Schwachstellen, von denen eine bereits aktiv für gezielte Angriffe ausgenutzt wird.

Hier ist die detaillierte Analyse der wichtigsten Sicherheitsupdates für IT-Administratoren und Sicherheitsexperten.

Die Highlights im Überblick

• Gesamtzahl der Patches: 114 (darunter 8 als „Kritisch“ eingestuft)
• Zero-Days: 3 (1 aktiv ausgenutzt, 2 öffentlich bekannt)
• Schwachstellen-Kategorien:
  • 57 Erhöhungen von Privilegien (Elevation of Privilege)
  • 22 Remote Code Execution (RCE)
  • 22 Offenlegung von Informationen (Information Disclosure)
  • 5 Spoofing-Schwachstellen
  • 3 Umgehungen von Sicherheitsfunktionen (Security Feature Bypass)
  • 2 Denial of Service (DoS)

Detaillierte Analyse der Zero-Day-Schwachstellen

Drei Sicherheitslücken erfordern diesen Monat sofortiges Handeln, da sie entweder bereits aktiv angegriffen werden oder Informationen über sie bereits vorab im Umlauf waren.

1. CVE-2026-20805: Information Disclosure im Desktop Window Manager (DWM)

Status: Aktiv ausgenutzt („Exploited in the wild“)

Schweregrad: Wichtig (CVSS 5.5)

Der Desktop Window Manager (DWM) ist eine zentrale Windows-Komponente, die für das Zeichnen der grafischen Benutzeroberfläche zuständig ist.

• Das Risiko: Diese Schwachstelle ermöglicht es einem lokalen Angreifer mit geringen Berechtigungen, sensible Speicheradressen über einen Remote-ALPC-Port (Advanced Local Procedure Call) auszulesen.
• Die Tragweite: Auch wenn eine „Information Disclosure“ auf dem Papier weniger gefährlich wirkt als eine Code-Ausführung, ist sie oft der entscheidende erste Schritt. Angreifer nutzen diese Lücke, um die Address Space Layout Randomization (ASLR) zu umgehen. Sobald die Speicherstruktur des Systems bekannt ist, können andere Sicherheitslücken (wie Buffer Overflows) wesentlich präziser und zuverlässiger für eine vollständige Systemübernahme genutzt werden. Da die CISA (Cybersecurity and Infrastructure Security Agency) bereits vor dieser Lücke warnt, ist schnelles Patching hier oberste Priorität.

2. CVE-2026-21265: Security Feature Bypass in Secure Boot

Status: Öffentlich bekannt

Schweregrad: Wichtig (CVSS 6.4)

Diese Schwachstelle betrifft das Fundament der Windows-Sicherheit: den Boot-Prozess.

• Das Problem: Microsoft-Zertifikate für Secure Boot aus dem Jahr 2011 erreichen in diesem Jahr ihr Ablaufdatum. Bestimmte Firmware-Implementierungen könnten bei der Rotation dieser Zertifikate Fehler aufweisen.
• Das Risiko: Ein Angreifer könnte diese fehlerhafte Zertifikatsprüfung nutzen, um Sicherheitsfunktionen von Secure Boot zu umgehen und bösartige Bootloader zu laden (ähnlich wie beim berüchtigten BlackLotus-Bootkit). Microsoft hat mit diesem Patch neue 2023-Zertifikate in die Trust-Chain integriert. Administratoren müssen beachten, dass hier neben dem Windows-Patch eventuell auch manuelle Schritte zur Aktualisierung der DBX (Revocation List) notwendig sein könnten.

3. CVE-2023-31096: Elevation of Privilege im Agere Soft Modem Driver

Status: Öffentlich bekannt

Schweregrad: Wichtig (CVSS 7.8)

Hierbei handelt es sich um eine kuriose, aber gefährliche Altlast. Es betrifft Treiber von Drittanbietern (Agere), die seit Jahrzehnten nativ mit Windows ausgeliefert wurden.

• Die Lösung: Microsoft hat sich dazu entschieden, die Treiber agrsm64.sys und agrsm.sys mit dem Januar-Update vollständig aus dem Betriebssystem zu entfernen.
• Das Risiko: Da die Schwachstelle bereits seit 2023 öffentlich dokumentiert war, bot sie ein leichtes Ziel für Angreifer, um lokale SYSTEM-Berechtigungen zu erlangen. Da kaum noch jemand physische Soft-Modems nutzt, ist die Entfernung die sicherste Methode, um diese Angriffsfläche dauerhaft zu schließen.

Kritische Infrastruktur-Updates

Schwere Lücken in Microsoft Office (CVE-2026-20952, CVE-2026-20953)

Besonders hervorzuheben sind zwei kritische RCE-Lücken in Word und Excel. Diese können bereits durch das bloße Anzeigen einer manipulierten Datei im Vorschaufenster (Preview Pane) von Outlook ausgelöst werden. Ein Nutzer muss die Datei also nicht einmal aktiv öffnen, um das System zu kompromittieren.

Windows Graphics (Virtualization Escape)

Ein Fehler in der Windows Graphics-Komponente ermöglichte es Angreifern in virtualisierten Umgebungen (z. B. Azure oder Hyper-V), aus einer Gast-VM auszubrechen und Zugriff auf den zugrunde liegenden Host-Server zu erhalten. Dies ist ein hochkritisches Szenario für Cloud-Anbieter und Unternehmen mit VDI-Infrastrukturen.

Die Sicherheitsupdates vom Patch Tuesday im Januar 2026

Nachfolgend finden Sie die vollständige Liste der behobenen Sicherheitslücken in den Updates vom Patch Tuesday im Januar 2026.