Auf den Punkt: Die aktiv ausgenutzte Lücke CVE-2026-68820 im Windows-Kernel-Treiber afd.sys ermöglichte Lazarus die Rechteausweitung auf SYSTEM-Ebene, während vier weitere kritische Schwachstellen mit CVSS 9,8 ganz ohne Nutzerinteraktion ausnutzbar waren.
Microsoft hat am August-Patchday hunderte Schwachstellen geschlossen. Eine davon, CVE-2026-68820 im Netzwerktreiber afd.sys, wurde bereits von der mit Nordkorea verbundenen Gruppe Lazarus als Zero-Day zur Rechteausweitung eingesetzt.
Die aktiv ausgenutzte Schwachstelle CVE-2026-68820 (CVSS 7,0) betrifft afd.sys, den Ancillary Function Driver for WinSock – einen zentralen Kernel-Treiber, über den praktisch jede Netzwerkverbindung unter Windows läuft. Es handelt sich um einen Use-after-free-Fehler: Ein bereits lokal angemeldeter Angreifer kann über eine präparierte Anwendung eine Race Condition auslösen und sich ohne weitere Nutzerinteraktion SYSTEM-Rechte verschaffen. Die Lücke wurde von den Check-Point-Forschern Moshe Marelus und David Driker gemeldet und war zum Meldezeitpunkt bereits als Zero-Day im aktiven Einsatz. Nach Angaben von Check Point Research nutzte die Gruppe Lazarus die Schwachstelle im Rahmen ihrer Kampagne Operation Dream Job, bei der Ziele mit gefälschten Jobangeboten geködert werden – zuletzt vor allem in der Verteidigungsbranche in Europa und Indien. Über eine präparierte PDF-Anwendung namens SecurityPDF sowie eine neu entdeckte Backdoor namens Troy verschafften sich die Angreifer zunächst Zugriff und nutzten anschließend die Windows-Schwachstelle, um eine neue Version ihres Kernel-Rootkits FudModule mit SYSTEM-Rechten auszuführen. Seit 2022 wurden nach Angaben von Sicherheitsforschern drei weitere Zero-Day-Schwachstellen im selben Treiber aktiv ausgenutzt, darunter eine ebenfalls Lazarus zugeschriebene Lücke aus dem Jahr 2024.
Für CISOs ist relevant, dass afd.sys ein wiederkehrendes Ziel für Rechteausweitungen ist – die vierte aktiv ausgenutzte Schwachstelle in diesem Treiber seit 2022. Angriffsketten, die mit Social Engineering (gefälschte Jobangebote, präparierte PDFs) beginnen und anschließend Kernel-Exploits zur Rechteausweitung nachschieben, erfordern neben Patch-Management auch Endpoint-Detection-Maßnahmen, die verdächtige lokale Prozessaktivität und Race-Condition-Muster erkennen können. Die anhaltende Fokussierung von Lazarus auf Verteidigungsunternehmen in Europa und Indien sollte in Threat-Intelligence-Bewertungen entsprechend gewichtet werden.
Zusätzlich schloss Microsoft vier weitere, jeweils mit dem Höchstwert von 9,8 bewertete Schwachstellen, für deren Ausnutzung weder ein Nutzerkonto noch eine Interaktion des Opfers nötig ist: in Windows DNS Server, den Windows Deployment Services, Microsofts Umsetzung des QUIC-Transportprotokolls sowie im High Performance Computing Pack. Keine dieser vier Lücken galt zum Veröffentlichungszeitpunkt als aktiv ausgenutzt. Die Zero Day Initiative beziffert den Gesamtumfang des Patchdays unabhängig von Microsofts eigener Zählung auf 398 neue CVE-Einträge, davon 62 als kritisch eingestuft, während Microsoft selbst sowie mehrere Fachmedien von insgesamt 421 CVE-Einträgen berichten.
Der August-Patchday schließt zudem die zweite Hälfte einer bereits im Juli teilweise behobenen Angriffskette gegen lokal betriebene SharePoint-Installationen. Sicherheitsforscher von Rapid7 hatten Microsoft bereits im Mai eine Kombination aus einer Authentifizierungsumgehung und einer separaten Schwachstelle zur Codeausführung gemeldet, mit der sich ohne vorherige Anmeldung beliebiger Code ausführen ließ. Im Juli schloss Microsoft zunächst die als CVE-2026-55040 geführte Authentifizierungsumgehung, mit der sich ein entfernter, nicht authentifizierter Angreifer als beliebiger SharePoint-Nutzer oder -Administrator ausgeben konnte, sofern ihm dessen Identität bekannt war. Im August folgte die zugehörige Schwachstelle zur Codeausführung unter der Kennung CVE-2026-63520. Betreiber lokaler SharePoint-Farmen sollten sicherstellen, dass beide Updates aus Juli und August installiert sind, da erst die Kombination beider Patches die vollständige Angriffskette schließt.
Quelle: www.it-daily.net · Erschienen 13. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.