Microsoft hat zum Patchday im August 2026 eine außergewöhnlich große Zahl von Sicherheitsproblemen in Windows, Office, Azure und weiteren Produkten adressiert. Für private Nutzer und Administratoren ist diesmal vor allem eine Windows-Schwachstelle relevant: Angreifer nutzen CVE-2026-68820 bereits aktiv aus und können nach erfolgreicher Attacke Rechte auf SYSTEM-Ebene erhalten, die monrose.de berichtet mit heise.de.
Betroffen sind unterstützte Windows-Client- und Server-Versionen. Die Schwachstelle befindet sich im Ancillary Function Driver for WinSock, einer Windows-Komponente im Umfeld der Netzwerkfunktionen. Microsoft führt die Lücke in seinem aktuellen Security Update Guide und stellt die entsprechenden Sicherheitsupdates bereit.
Der August-Patchday ist damit kein Update, das wochenlang aufgeschoben werden sollte. Die entscheidende Schwachstelle existiert nicht nur theoretisch, sondern wird bereits für Angriffe verwendet. Auf automatisch aktualisierten Privat-PCs sollte deshalb kontrolliert werden, ob die aktuellen Windows-Updates tatsächlich installiert wurden.
CVE-2026-68820 wird bereits aktiv angegriffen
Die größte Aufmerksamkeit gilt der Windows-Sicherheitslücke CVE-2026-68820. Technisch handelt es sich um einen Speicherfehler im Ancillary Function Driver for WinSock. Ein Angreifer benötigt bereits lokalen Zugriff beziehungsweise eine authentifizierte Position auf dem betroffenen Rechner und muss speziell präparierten Code ausführen.
Damit ist die Lücke kein klassischer Angriff, bei dem allein der Besuch einer Webseite genügt. Gefährlich wird sie vor allem als zweite Stufe einer Attacke. Hat Schadsoftware bereits eingeschränkte Rechte auf einem Rechner erlangt, kann eine Privilegieneskalation dafür sorgen, dass aus einem begrenzten Zugriff eine wesentlich mächtigere Position wird.
Im Erfolgsfall können Angreifer SYSTEM-Rechte erreichen. Diese Berechtigungsstufe liegt noch über einem gewöhnlichen Administratorkonto und ermöglicht weitreichende Eingriffe in das Betriebssystem.
Bei bereits beobachteten Angriffen verändert sich die Priorität eines Sicherheitsupdates deutlich: Entscheidend ist nicht mehr allein die theoretische Schwere einer Schwachstelle, sondern die Tatsache, dass Angreifer sie praktisch einsetzen.
Wie die aktuell beobachteten Attacken im Detail ablaufen und in welchen Angriffsketten CVE-2026-68820 eingesetzt wird, ist bislang nicht umfassend öffentlich dokumentiert. Für die Installation des Patches spielt das jedoch keine Rolle: Systeme, für die Microsoft ein Sicherheitsupdate bereitstellt, sollten aktualisiert werden.
Warum SYSTEM-Rechte für Angreifer so wertvoll sind
Ein Benutzerkonto mit eingeschränkten Berechtigungen begrenzt normalerweise den Schaden, den ein einzelner Prozess anrichten kann. Eine funktionierende Privilege Escalation in Windows durchbricht genau diese Schutzschicht.
SYSTEM ist eines der mächtigsten Sicherheitskonten unter Windows. Schadcode mit diesen Rechten kann tief in das Betriebssystem eingreifen und Aktionen ausführen, die einem normalen Benutzer nicht zur Verfügung stehen.
Mögliche Folgen einer erfolgreichen Rechteausweitung sind unter anderem:
- Manipulation wichtiger Systembereiche,
- Zugriff auf geschützte Dateien und Einstellungen,
- Installation zusätzlicher Schadsoftware,
- Veränderung von Sicherheitskonfigurationen,
- dauerhafte Verankerung von Malware im System,
- Zugriff auf Daten anderer Benutzerkonten.
Das bedeutet nicht, dass bei jeder Ausnutzung automatisch alle diese Schritte erfolgen. Die SYSTEM-Berechtigung verschafft einem Angreifer jedoch die technische Ausgangslage für wesentlich umfassendere Aktionen.
Für Unternehmen ist das besonders problematisch. Wird zunächst ein einzelner Arbeitsplatz kompromittiert, kann eine lokale Rechteausweitung den nächsten Teil einer größeren Angriffskette ermöglichen.
Zweite Windows-Lücke ist bereits öffentlich bekannt
CVE-2026-68820 ist nicht die einzige Schwachstelle, die beim August-Patchday erhöhte Aufmerksamkeit verlangt. Mit CVE-2026-62832 hat Microsoft eine weitere Rechteausweitung in Windows geschlossen.
Diese Schwachstelle betrifft den Windows User Profile Service. Sie war bereits vor der Bereitstellung des Updates öffentlich bekannt. Nach erfolgreicher Ausnutzung kann ein lokaler Angreifer Administratorrechte erreichen. Microsoft führt die Sicherheitslücke im Security Update Guide.
Der Unterschied zwischen beiden Fällen ist relevant. Für CVE-2026-68820 sind Angriffe in freier Wildbahn bekannt. Bei CVE-2026-62832 ist die Lücke dagegen öffentlich dokumentiert, was die Entwicklung neuer Angriffsmethoden erleichtern kann.
| Schwachstelle | Betroffener Bereich | Mögliches Ergebnis |
|---|---|---|
| CVE-2026-68820 | WinSock-Treiber | SYSTEM-Rechte |
| CVE-2026-62832 | User Profile Service | Administratorrechte |
| CVE-2026-68823 | Azure Confidential Ledger | Codeausführung |
| CVE-2026-63513 | Microsoft Office | Codeausführung |
Für Administratoren bedeutet dies, dass nicht ausschließlich nach einer CVSS-Zahl priorisiert werden sollte. Aktive Ausnutzung, öffentliche Bekanntheit, erreichbare Rechte und die Rolle des betroffenen Systems sind für die tatsächliche Risikobewertung mindestens ebenso relevant.
Office bekommt ebenfalls wichtige Sicherheitsupdates
Auch Microsoft Office Sicherheitslücken gehören zum August-Patchday. Mehrere Fehler können unter bestimmten Bedingungen die Ausführung von Schadcode ermöglichen. Dazu zählt CVE-2026-63513 im Office-Umfeld, das Microsoft ebenfalls in seinem aktuellen Sicherheitszyklus behandelt.
Solche Schwachstellen sind für Unternehmen und Privatanwender besonders relevant, weil Office-Dateien täglich per E-Mail, Download, Cloudspeicher oder Messenger ausgetauscht werden. Angriffe über manipulierte Dokumente gehören deshalb seit Jahren zu den typischen Methoden, um Schadcode in Unternehmensnetze einzuschleusen.
Eine Sicherheitslücke in Office bedeutet allerdings nicht automatisch, dass jede empfangene Word-, Excel- oder PowerPoint-Datei gefährlich ist. Entscheidend sind die konkreten Voraussetzungen des jeweiligen Fehlers.
Dateien aus unbekannten Quellen bleiben unabhängig vom Patchday ein Risiko. Ein aktuelles Office reduziert die Angriffsfläche, ersetzt aber nicht den vorsichtigen Umgang mit unerwarteten Anhängen. Besonders kritisch sind Dokumente, die ohne nachvollziehbaren Grund zum Öffnen, Bearbeiten oder Aktivieren zusätzlicher Funktionen auffordern.
Für Unternehmen lohnt sich deshalb nicht nur die Aktualisierung von Windows selbst. Auch Microsoft 365 Apps und lokal installierte Office-Versionen sollten in die Patch-Kontrolle einbezogen werden.
Kritische Azure-Lücken wurden serverseitig behoben
Der Patchday betrifft außerdem Microsofts Cloudplattform Azure. Mehrere Schwachstellen werden als kritisch eingestuft. Ein Beispiel ist CVE-2026-68823 im Azure Confidential Ledger.
Die Lücke kann es einem bereits autorisierten Angreifer ermöglichen, über das Netzwerk Code auszuführen. Da es sich um einen ausschließlich gehosteten Dienst handelt, liegt die Aktualisierung bei Microsoft und nicht bei den Administratoren der Kundensysteme. Die Schwachstelle wird im Microsoft Security Update Guide als Azure-Problem geführt.
Für Kunden ist das ein wichtiger Unterschied zu Windows. Bei einem lokalen Windows-PC muss das bereitgestellte Update tatsächlich auf dem Gerät landen. Bei bestimmten Azure-Diensten kann Microsoft die verwaltete Infrastruktur dagegen selbst korrigieren.
Cloud-Dienste nehmen Administratoren die Installation einzelner serverseitiger Patches ab. Sie nehmen ihnen jedoch nicht die Aufgabe ab, Sicherheitsmeldungen zu prüfen und mögliche Folgen für eigene Anwendungen oder Konten zu bewerten.
Neben Azure und Office behandelt der August-Patchday weitere Microsoft-Produkte und Windows-Komponenten. Dazu zählen unter anderem Bereiche rund um Netzwerkdienste sowie Unternehmenssoftware, weshalb insbesondere IT-Abteilungen den vollständigen Bestand ihrer eingesetzten Microsoft-Produkte prüfen sollten.
Windows Update sollte jetzt kontrolliert werden
Für private Nutzer ist die wichtigste Maßnahme vergleichsweise einfach: Windows Update installieren und danach prüfen, ob ein Neustart aussteht.
Windows 11 und unterstützte Windows-10-Systeme beziehen Sicherheitskorrekturen normalerweise automatisch. In der Praxis bleiben Updates dennoch manchmal aus, etwa weil ein Computer längere Zeit ausgeschaltet war, eine Installation pausiert wurde oder ein erforderlicher Neustart nicht durchgeführt wurde.
Eine kurze Kontrolle besteht aus wenigen Schritten:
- Windows-Einstellungen öffnen.
- Zu „Windows Update“ wechseln.
- Nach verfügbaren Aktualisierungen suchen.
- Sicherheitsupdates installieren.
- Einen angeforderten Neustart durchführen.
- Danach erneut Windows Update öffnen und den Status kontrollieren.
In Unternehmensnetzen gelten andere Abläufe. Dort werden Aktualisierungen häufig zunächst getestet und anschließend zentral über Verwaltungswerkzeuge verteilt. Bei einer bereits aktiv ausgenutzten Schwachstelle sollte das Testfenster jedoch nicht länger als notwendig ausfallen.
Besonders exponierte oder sicherheitskritische Geräte verdienen Priorität. Dazu gehören Administratoren-PCs, Systeme mit sensiblen Unternehmensdaten und Rechner, auf denen mehrere Benutzer oder externe Anwendungen arbeiten.
Windows 10 bleibt ein besonderer Fall
Beim Thema Sicherheitsupdates muss 2026 stärker zwischen einzelnen Windows-10-Konfigurationen unterschieden werden. Der reguläre Support für große Teile des klassischen Windows-10-Bestands ist bereits ausgelaufen. Sicherheitsupdates stehen deshalb nicht automatisch für jedes noch betriebene Windows-10-System unter denselben Bedingungen zur Verfügung.
Entscheidend sind Edition, Version und gegebenenfalls eine vorhandene Berechtigung für verlängerte Sicherheitsupdates.
Ein Rechner kann technisch weiterhin funktionieren und trotzdem aus dem normalen Sicherheitszyklus gefallen sein. Gerade bei neu bekannt werdenden Schwachstellen erhöht das langfristig das Risiko.
Für Nutzer älterer Systeme ist daher nicht nur die Frage wichtig, ob Windows Update aktiviert ist. Ebenso muss geprüft werden, ob das verwendete Betriebssystem überhaupt noch Sicherheitskorrekturen erhält.
Was es mit ShieldBreak und RoguePlanet auf sich hat
Parallel zum regulären Patchday sorgt ein weiterer Sicherheitsbericht für Aufmerksamkeit. Ein Proof of Concept mit dem Namen ShieldBreak soll den Schutz gegen die als RoguePlanet bezeichnete Windows-Defender-Schwachstelle CVE-2026-50656 umgehen können.
Microsoft hatte für RoguePlanet bereits zuvor nachgebessert. Die neue Behauptung würde bedeuten, dass der vorhandene Schutz unter bestimmten Voraussetzungen erneut umgangen werden könnte.
Noch fehlt jedoch eine unabhängige Bestätigung. Auch eine entsprechende neue Bewertung von Microsoft lag zunächst nicht vor.
Deshalb sollte ShieldBreak nicht mit CVE-2026-68820 gleichgesetzt werden. Bei der WinSock-Lücke bestätigt Microsoft eine aktive Ausnutzung. Beim angeblichen Defender-Bypass handelt es sich dagegen zunächst um einen veröffentlichten Proof of Concept, dessen tatsächliche Auswirkungen noch überprüft werden müssen.
Warum dieser Patchday höhere Priorität hat
Nicht jeder monatliche Patchday verlangt bei Privatnutzern sofortige Reaktion. Beim August-Update 2026 sprechen jedoch mehrere Punkte für eine zeitnahe Installation.
Eine Windows-Schwachstelle wird bereits angegriffen. Eine zweite relevante Rechteausweitung war vor dem Patch öffentlich bekannt. Hinzu kommen Probleme in Office und kritische Sicherheitsfehler in Azure-Diensten.
Für die Praxis ergibt sich eine klare Reihenfolge: Zuerst sollten Systeme aktualisiert werden, auf denen die aktiv ausgenutzte Windows-Lücke vorhanden ist. Danach gehören weitere Windows- und Office-Patches in die reguläre Aktualisierung. Bei zentral verwalteten Umgebungen muss zusätzlich kontrolliert werden, ob alle vorgesehenen Geräte die Updates tatsächlich erhalten haben.
Der August-Patchday zeigt zugleich, warum automatische Updates auf privaten Rechnern sinnvoll bleiben. Rund 400 korrigierte Sicherheitsprobleme einzeln zu bewerten, ist für normale Nutzer kaum realistisch. Ein aktueller Patchstand reduziert die Zahl bekannter und technisch bereits geschlossener Angriffsmöglichkeiten wesentlich effizienter.
Die dringlichste Schwachstelle ist im August 2026 nicht diejenige mit dem spektakulärsten Namen. CVE-2026-68820 sticht hervor, weil reale Angriffe bereits stattfinden. Wer ein betroffenes und unterstütztes Windows-System nutzt, sollte den aktuellen Update-Status deshalb nicht bis zum nächsten regulären Patchday ignorieren.