Microsoft schließt hunderte Schwachstellen: Eine bereits ausgenutzt

Microsoft hat am August-Patchday hunderte Schwachstellen geschlossen, eine davon wurde bereits von der Gruppe Lazarus als Zero-Day ausgenutzt.

Die aktiv ausgenutzte Schwachstelle mit der Kennung CVE-2026-68820 und einem CVSS-Wert von 7,0 betrifft afd.sys, den sogenannten Ancillary Function Driver for WinSock, einen zentralen Kernel-Treiber, über den praktisch jede Netzwerkverbindung unter Windows läuft. Es handelt sich um einen Use-after-free-Fehler: Ein bereits lokal am System angemeldeter Angreifer kann über eine präparierte Anwendung eine sogenannte Race Condition auslösen und sich dadurch ohne weitere Nutzerinteraktion SYSTEM-Rechte verschaffen. Die Schwachstelle wurde von den Check-Point-Forschern Moshe Marelus und David Driker gemeldet und war zum Zeitpunkt der Meldung bereits als Zero-Day im aktiven Einsatz.

Nach Angaben von Check Point Research nutzte die mit Nordkorea in Verbindung gebrachte Gruppe Lazarus die Schwachstelle im Rahmen ihrer seit Längerem laufenden Kampagne Operation Dream Job, bei der Ziele mit gefälschten Jobangeboten geködert werden, zuletzt vor allem in der Verteidigungsbranche in Europa und Indien. Über eine präparierte PDF-Anwendung namens SecurityPDF sowie eine neu entdeckte Backdoor mit dem Namen Troy verschafften sich die Angreifer zunächst Zugriff und nutzten anschließend die Windows-Schwachstelle, um eine neue Version ihres Kernel-Rootkits FudModule mit SYSTEM-Rechten auszuführen. Bereits seit 2022 wurden nach Angaben von Sicherheitsforschern drei weitere Zero-Day-Schwachstellen im selben Treiber aktiv ausgenutzt, darunter eine ebenfalls von Lazarus zugeschriebene Lücke aus dem Jahr 2024.

Vier weitere kritische Lücken ganz ohne Nutzerinteraktion

Zusätzlich schloss Microsoft vier weitere, jeweils mit dem Höchstwert von 9,8 bewertete Schwachstellen, für deren Ausnutzung ein Angreifer weder ein Nutzerkonto noch eine Interaktion des Opfers benötigt: in Windows DNS Server, den Windows Deployment Services, Microsofts Umsetzung des QUIC-Transportprotokolls sowie im High Performance Computing Pack. Keine dieser vier Lücken galt zum Zeitpunkt der Veröffentlichung als aktiv ausgenutzt. Die Zero Day Initiative beziffert den Gesamtumfang des Patchdays unabhängig von Microsofts eigener Zählung auf 398 neue CVE-Einträge, davon 62 als kritisch eingestuft, während Microsoft selbst sowie mehrere Fachmedien von insgesamt 421 CVE-Einträgen berichten.

SharePoint-Angriffskette vollständig geschlossen

Der August-Patchday schließt zudem die zweite Hälfte einer bereits im Juli teilweise behobenen Angriffskette gegen lokal betriebene SharePoint-Installationen. Sicherheitsforscher von Rapid7 hatten Microsoft bereits im Mai eine Kombination aus einer Authentifizierungsumgehung und einer separaten Schwachstelle zur Codeausführung gemeldet, mit der sich ohne vorherige Anmeldung beliebiger Code ausführen ließ.

Im Juli schloss Microsoft zunächst die als CVE-2026-55040 geführte Authentifizierungsumgehung, mit der sich ein entfernter, nicht authentifizierter Angreifer als beliebiger SharePoint-Nutzer oder -Administrator ausgeben konnte, sofern ihm dessen Identität bekannt war. Im August folgte nun die zugehörige Schwachstelle zur Codeausführung unter der Kennung CVE-2026-63520. Betreiber lokaler SharePoint-Farmen sollten laut Sicherheitsforschern sicherstellen, dass beide Updates aus Juli und August installiert sind.

(red)