LONDON (IT BOLTWISE) – Microsoft liefert seine monatlichen Sicherheitsupdates aus und schiebt dabei 398 neue CVEs nach. Besonders dringend ist ein Zero-Day in der Windows-Netzwerkkomponente afd.sys, der laut Microsoft bereits aktiv ausgenutzt wird. Die Lücke zielt auf einen Use-after-Free im Kernel-Treiber für WinSock und kann von bereits ausgeführtem Code bis hin zu SYSTEM führen. Daneben schließt der Patch-Release mehrere unauthentifizierte Remote-Code-Execution-Schwachstellen mit teils CVSS 9,8, die ohne Nutzerinteraktion gefährlich sein können.
Microsoft hat seinen monatlichen Security-Release veröffentlicht und dabei insgesamt 398 neue CVEs adressiert; 62 davon sind als Critical eingestuft. Für IT-Teams ist das vor allem eine Priorisierungsfrage: Wie der Security-Release angekündigt ist, bestimmt nicht nur die CVSS-Bewertung die Reihenfolge, sondern der Status der Ausnutzung sowie die praktische Erreichbarkeit der betroffenen Komponenten. Ein Punkt sticht allerdings sofort heraus, weil Microsoft genau diese Lücke als bereits aktiv ausgenutzt markiert.
Ganz oben steht dabei CVE-2026-68820 mit einem CVSS-Score von 7,0. Nach den vorliegenden technischen Angaben handelt es sich um ein Use-after-Free in afd.sys, dem Ancillary Function Driver für WinSock und damit um eine kernelnahe Komponente der Windows-Netzwerkinfrastruktur. Entscheidend für die Angriffsrealität ist das erforderliche Vorstadium: Ein Angreifer braucht Code, der bereits auf der betroffenen Maschine läuft, bevor die Schwachstelle zu einer Privilege Escalation bis auf SYSTEM führen kann. Microsoft stuft die Ausnutzung als aktiv ein, und die tatsächliche Ausführung erfolgt dabei offenbar über das Triggern einer Race-Condition im Treiber. Für die Patch-Planung bedeutet das: Wer bereits potenziell kompromittierte Endpunkte im Bestand hat oder Systeme mit erhöhter Angriffsdynamik betreibt, sollte den Update-Schritt für diese Komponente nicht aufschieben.
Auch wenn CVE-2026-68820 „nur“ 7,0 erreicht, rückt der Release für die nächsten Schritte dennoch die unauthentifizierten Server-Schwachstellen in den Fokus. Vier weitere Lücken kommen ohne Konto, Passwort und ohne Nutzerinteraktion aus, was sie besonders geeignet macht, um Code auf Servern aus der Ferne zu platzieren. Unter anderem betrifft CVE-2026-62878 den Windows DNS Server und wird als stackbasierter Buffer-Overflow beschrieben, der sich remote und ohne Authentifizierung erreichen lässt. Hinzu kommt CVE-2026-62893 für Windows Deployment Services, erreichbar über das TFTP-Handling ohne Authentifizierung und ohne Benutzeraktion. Bei Microsoft QUIC (CVE-2026-62815) genügt offenbar ebenfalls eine Remote-Anfrage, ohne dass ein Nutzer eingreifen muss. Und auch HPC Pack (CVE-2026-59124) trägt denselben CVSS-Score von 9,8, wird aber als „Important“ statt „Critical“ eingeordnet, weil HPC Pack nicht standardmäßig installiert ist.
Für die operative Reihenfolge ist genau diese Mischung aus „exploit status“ und „exponierte Angriffsfläche“ der Schlüssel. Microsoft markiert CVE-2026-68820 als aktiv ausgenutzt und stellt sie damit über die vier RCEs, obwohl deren Scores höher sind. Gleichzeitig hängt die tatsächliche Priorität der Remote-Code-Execution-Lücken davon ab, ob die jeweiligen Dienste im konkreten Netzwerk vorhanden sind und ob Angreifer sie erreichen können. Damit reicht eine rein kalenderbasierte Patch-Routine nicht; in der Praxis braucht es eine Bestandsaufnahme der Service-Instanzen (DNS, WDS, QUIC-Nutzung, HPC-Deployments) und eine Prüfung der Transportwege. Insbesondere bei DNS und WDS gilt: Werden die Dienste in Segmenten betrieben, die direkt oder indirekt angreifbar sind, verschiebt sich die Risiko-Kurve deutlich nach vorn.
Der Release schließt außerdem den zweiten Teil einer SharePoint-Exploitation-Kette, die bereits im Juli begonnen hatte. Dort wurde zuerst ein Authentifizierungsbypass behoben (CVE-2026-55040, Critical, CVSS 9,1). Technisch wird diese erste Hälfte so beschrieben, dass ein Angreifer aus der Ferne eine Identität übernehmen kann, ohne dass eine vollständige, neue Authentifizierung erforderlich wäre – sofern er die Zielidentität kennt, die er imitieren will. Der August-Update bringt dann die zweite Komponente: CVE-2026-63520 deckt den RCE-Teil der Kette ab. Für Administratoren ist die Unterscheidung wichtig: CVE-2026-63520 allein schafft noch keine „unauthentifizierte“ RCE, die Kombination mit dem Authentifizierungsbypass aus CVE-2026-55040 war aber genau der Weg, der in einer demonstrierten Kettenausnutzung zu unauthentifizierbarer Codeausführung gegen On-Premises-SharePoint-Farmen führte.
Damit lässt sich die Patch-Logik recht konkret formulieren. Für Windows-Systeme mit potenziell bereits laufendem fremdem Code bleibt CVE-2026-68820 der erste Kandidat, weil die Privilege Escalation bis SYSTEM direkt über die Kernel-Komponente erfolgen kann. Danach sollten Teams die Remote-RCEs priorisieren, vor allem die, die ohne Authentifizierung und ohne Nutzerinteraktion auskommen – CVE-2026-62878 (DNS), CVE-2026-62893 (WDS) und CVE-2026-62815 (QUIC). Bei HPC Pack lohnt sich eine genauere Prüfung auf Deployment-Realität: Wenn HPC Pack nicht installiert ist oder nicht exponiert, sinkt die praktische Dringlichkeit; ist es jedoch im produktiven Betrieb und erreichbar, kann die 9,8-Bewertung schnell in eine reale Ausnutzungsrelevanz übersetzen. Parallel dazu sollten On-Premises-SharePoint-Farmen sicherstellen, dass sowohl der Juli-Fix für den Authentifizierungsbypass als auch der August-Fix für den RCE-Block eingespielt wurden.
Aus technischer Perspektive zeigt der Release auch, wie sich moderne Angriffsfolgen in Windows-Umgebungen häufig „von unten nach oben“ bewegen: Eine kernelnahe Speicherfehlerklasse wie Use-after-Free in Netzwerkträgern ist nicht nur ein einzelner Crash- oder Stabilitätsfehler, sondern kann – unter passenden Bedingungen – zu vollständigen Rechteausweitungen führen. Für die Security-Strategie bedeutet das: Patch-Management bleibt die Basis, doch die zweite Ebene ist die Erkennung von „Vorstadien“ (z. B. Hinweise auf bereits ausgeführten Code auf Endpunkten) und die Minimierung der Angriffsfläche für exponierte Serverrollen. Wer Patch-Reihenfolge und Service-Reichweite sauber mit Exploit-Status verknüpft, reduziert die Wahrscheinlichkeit, dass eine unter Umständen scheinbar „weniger hoch bewertete“ Lücke in der Attack-Chain die frühere Tür bleibt.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Microsoft schließt 398 Sicherheitslücken – Windows afd.sys unter aktiver Ausnutzung" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Microsoft schließt 398 Sicherheitslücken – Windows afd.sys unter aktiver Ausnutzung" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Microsoft schließt 398 Sicherheitslücken – Windows afd.sys unter aktiver Ausnutzung« bei Google Deutschland suchen, bei Bing oder Google News!