Bei seinem Patch Day am 11. August hat Microsoft Sicherheits-Updates gegen 398 neue Sicherheitslücken bereitgestellt. Das sind zwar deutlich weniger als im Juli, jedoch steht zu befürchten, dass mehrere hundert Lücken pro Monat der neue Standard sein werden. Immerhin ist die Anzahl der aktiv ausgenutzten Sicherheitslücken nicht mitgewachsen. Das spricht ein wenig dafür, dass die Angreifer noch nicht über die neuesten „KI“-Modelle verfügen.
Neben Windows und Office sind auch Teams, Exchange Server, Hyper-V, Windows Defender, Visual Studio und Microsofts Cloud-Dienste sowie weitere Produkte betroffen. Ganze 42 der 398 Schwachstellen stuft Microsoft als kritisch ein, die übrigen sind bis auf eine als hohes Risiko ausgewiesen. Eine Windows-Lücke wird bereits für Angriffe ausgenutzt, zwei waren schon vorab öffentlich bekannt.
Die Details zu den Schwachstellen bietet Microsoft zum Selbstsuchen im das Thema Update-Dienstag auf – stets auch mit Blick auf Admins, die Unternehmensnetzwerke betreuen.
Die wichtigsten Sicherheitslücken beim Patch Day im August:
| CVE | anfällige Software | Schweregrad | Auswirkung | ausgenutzt | vorab bekannt | CVSS |
|---|---|---|---|---|---|---|
| CVE-2026-68820 | Windows, Winsock | hoch | EoP | ja | nein | 7.0 |
| CVE-2026-62878 | Windows, DNS-Server | kritisch | RCE | nein | nein | 9.8 |
| CVE-2026-62893 | Windows-Bereitstellungsdienste | kritisch | RCE | nein | nein | 9.8 |
| CVE-2026-62815 | Windows, QUIC | kritisch | RCE | nein | nein | 9.8 |
| CVE-2026-59124 | Windows, HPC | hoch | RCE | nein | nein | 9.8 |
| CVE-2026-62832 | Windows, Benutzerprofildienst | hoch | EoP | nein | ja | 7.8 |
| CVE-2026-72971 | Windows Container Isolation | hoch | Manipulation | nein | ja | 5.5 |
| CVE-2026-62911 | Exchange Server | kritisch | EoP | nein | nein | 8.0 |
EoP: Elevation of Privilege, Rechteausweitung
Schwachstellen in Windows
Ein großer Anteil der Schwachstellen, dieses Mal über 200, verteilt sich über die verschiedenen Windows-Versionen (10, 11, Server), für die Microsoft noch Sicherheits-Updates anbietet. Windows 10 wird weiterhin ganz normal als betroffenes System genannt, obwohl die Unterstützung im Oktober 2025 offiziell ausgelaufen ist – das lief bei Windows 7 noch anders, trotz ESU-Programm (Erweiterte Sicherheits-Updates). Microsoft hat das ESU-Programm für Windows 10 auf privat genutzten Rechnern
Die UAF-Lücke CVE-2026-62893 im TFTP-Server der Windows-Bereitstellungsdienste könnte über den UDP-Port 69 ausgenutzt werden, um ohne Benutzerinteraktion Code einzuschleusen und auszuführen. Der Fehler rührt daher, dass Aktionen mit einem Objekt ausgeführt werden, ohne zuvor zu prüfen, ob das betreffende Objekt überhaupt existiert.
Die RCE-Lücke CVE-2026-62815 in QUIC taugt ebenfalls dazu, eingeschleusten Code ohne Benutzerinteraktion auszuführen. QUIC ist ein standardisiertes Protokoll (für HTTP/3), das über UDP läuft. Obwohl lediglich als hohes Risiko ausgewiesen, hat es auch die RCE-Lücke CVE-2026-59124 in sich (CVSS 9.8). Microsofts High Performance Computing (HPC) Pack ist nicht standardmäßig aktiv, daher gilt die Schwachstelle nicht als kritisch. Doch auch hierüber könnten Angreifer eingeschleusten Code ohne Benutzerinteraktion ausführen.
, die bei der oben genannten Gesamtlückenanzahl nicht eingerechnet sind. In dieser Woche gibt es bereits “ vor. Falls Sie großen Wert auf anonymes Surfen legen, . Der nächste turnusmäßige Update-Dienstag ist am 8. September 2026.
SOCIAL SHARE CARD GENERATOR