Microsoft schließt 398 Windows-Schwachstellen, eine wird aktiv ausgenutzt

Microsofts Patch Tuesday vom August 2026 behebt mindestens 398 Sicherheitslücken in Windows und unterstützter Software, darunter eine Schwäche, die bereits aktiv ausgenutzt wird, und zwei weitere, die vor dem Update öffentlich beschrieben wurden. Das Paket vom 11. August 2026 ist kleiner als der Rekord des letzten Monats mit mehr als 570 Sicherheitsupdates, aber doppelt so groß wie das damalige Rekordpaket vom Juni mit fast 200 Korrekturen. Microsoft führt die jüngste Patch-Flut auf Schwachstellenfunde zurück, die durch künstliche Intelligenz unterstützt wurden, und Experten sind sich einig, dass sich Windows-Nutzer daran gewöhnen sollten, dass Patch Tuesday, der zweite Dienstag jedes Monats, Hunderte neu entdeckte Sicherheitslücken abdeckt.

Von den 398 Fehlern erhielten 42 die schwerwiegendste Bewertung „kritisch“ von Microsoft, was bedeutet, dass sie ernst genug sind, dass Malware oder Angreifer sie ausnutzen könnten, um die Fernsteuerung eines Windows-Computers mit wenig oder gar keiner Hilfe des Nutzers zu erlangen. Der einzige in diesem Monat behobene bekannte Zero-Day ist CVE-2026-68820, eine Schwäche zur Rechteausweitung in einer zentralen Windows-Komponente namens afd.sys. Afd.sys ist der Treiber hinter Windows-Socket-Verbindungen, dem zugrunde liegenden Mechanismus, den Programme zum Senden und Empfangen von Daten über ein Netzwerk verwenden, und er läuft praktisch auf jedem Endpunkt. Rechteausweitung bedeutet eine Schwäche, die es jemandem, der bereits eingeschränkten Zugriff hat, ermöglicht, höhere Rechte zu erlangen, etwa Administratorrechte. Landon Miles von Automox beschrieb dies nicht als Bug an der Vordertür, sondern als Schritt zwei in einer Angriffskette: Ein Angreifer nutzt zunächst Phishing, um einen Fuß in die Tür mit geringen Rechten zu bekommen, und nutzt dann den Treiberfehler, um die Maschine zu übernehmen. Der Schweregrad von 7,0 spiegelt die hohe Angriffskomplexität wider, denn Race Conditions, also Fehler, die auf präzises Timing angewiesen sind, sind knifflig. Der Exploit muss immer wieder ausgeführt werden, bis das Timing passt, und jemand schafft es offenbar trotzdem.

Microsoft hat auch CVE-2026-62832 gepatcht, eine weitere Schwäche zur Rechteausweitung, die das Unternehmen als wahrscheinlich ausnutzbar eingestuft hat. Diese Schwäche liegt im Windows User Profile Service, der Benutzereinstellungen und -konten verwaltet, und sie könnte mit einer kürzlichen öffentlichen Offenlegung namens LegacyHive des produktiven Fehlersuchers namens Nightmare Eclipse zusammenhängen. Der andere öffentlich offengelegte Fehler ist CVE-2026-72971, eine lokale Manipulationsschwachstelle mit geringen Auswirkungen, die Microsoft als wahrscheinlich nicht ausnutzbar einschätzt.

Auch andere große Softwarehersteller erhöhen dank KI ihre Patch-Mengen und -Frequenzen. Adobe ist zu zweimal monatlich erscheinenden Sicherheitsbulletins übergegangen, die am zweiten und vierten Dienstag jedes Monats veröffentlicht werden. Cisco, Google, Mozilla und der Datenbankanbieter liefern ebenfalls viel häufiger und umfangreicher Updates aus. Allem Anschein nach ist KI ziemlich gut darin, Sicherheitslücken in Software zu finden. Doch zumindest vorerst bleibt das Patchen der daraus resultierenden Fehlerlawine eine stark menschenzentrierte Aufgabe, und es ist noch offen, ob KI-Technologien genauso gut darin sein werden, Schwachstellen zu beheben, wie sie darin sind, sie zu finden und auszunutzen. Diese Frage ist wichtig, weil dieselben KI-Technologien auch Lösungen für die von ihnen gefundenen Schwachstellen vorschlagen. Forscher von 1Password haben kürzlich untersucht, was passiert, wenn verschiedene große Sprachmodelle, sogenannte LLMs, Patches für neu offengelegte, komplexe Schwachstellen generieren. Sie stellten fest, dass die LLMs in mehr als der Hälfte der Fälle Patches erzeugten, die den Fehler nicht behoben oder dabei eine neue Schwäche hinzufügten – oder beides. Ed Skoudis, Präsident des SANS Technology Institute, sagte, sein Team habe mit KI zur Patch-Generierung hervorragende Ergebnisse erzielt, sofern Menschen eingebunden sind, die die vorgeschlagenen Korrekturen testen und auf iterative Verbesserungen drängen. In einem SANS-Newsletter schrieb er, KI werde schnell erstaunlich gut darin, Schwachstellen zu finden, aber sie zu beheben sei ein ganz anderes Problem. Skoudis warnte davor, zu erwarten, dass KI-Patching aus einem Guss zuverlässig funktioniert; stattdessen solle man iterieren, testen, hinterfragen, verbessern und verifizieren. KI könne ein außergewöhnlicher Patch-Partner sein, brauche heute aber noch einen qualifizierten Menschen an der Tastatur.

Tyler Reguly von Fortra sagt, Berichte über Microsoft, das Hunderte Schwachstellen auf einmal patcht, hätten einige Organisationen dazu veranlasst, schneller zu patchen, aber man dürfe nicht vergessen, dass nur einer der fast 400 heute behobenen Fehler bekanntermaßen aktiv ausgenutzt wird. Reguly schlug vor, dass Sicherheitsverantwortliche sich mit ihren Teams abstimmen, um zu sehen, wie sie mit der steigenden Arbeitslast umgehen, die oft das Testen von Korrekturen vor dem Einsatz in Produktionsumgebungen umfasst. Er empfahl, dass Sicherheitschefs mit ihren Teams darüber sprechen, wie sie Arbeitsabläufe verlagern oder anpassen, und sie über verschiedene Organisationseinheiten hinweg unterstützen, indem sie die gewünschten Änderungen ermöglichen. Reguly fügte hinzu, dass diese Updates nicht überstürzt werden müssen, egal was verschiedene Anbieter und Organisationen erzählen, und dass man sicherstellen müsse, sichere Updates auszurollen, die die Systeme nicht negativ beeinträchtigen.

Apropos die Menschen hinter den Tastaturen: Versäumen Sie nicht, Ihr System und Ihre Daten zu sichern, bevor Sie die große Patch-Last dieses Monats anwenden. Der Tag nach dem monatlichen Patch Tuesday wird manchmal spöttisch als Reboot Wednesday bezeichnet, aber es schadet im Allgemeinen nicht, ein paar Tage zu warten, bevor man diese riesigen Update-Pakete anwendet, denn es dauert manchmal ein paar Tage, bis der gelegentlich fehlerhafte Patch von Microsoft richtig ausgebügelt wurde. Für eine anklickbare, Patch-für-Patch-Aufschlüsselung nach Schweregrad und Dringlichkeit können Sicherheitsexperten die Zusammenfassung des SANS Internet Storm Center heranziehen.

Für Website-Betreiber und IT-Teams gilt dieselbe Patch-Disziplin auch für Webserver und Hosting-Plattformen. Managed WordPress Hosting wie AEU Hosting umfasst serverseitige Sicherheitsupdates und Härtung, sodass Kunden nicht jeden Betriebssystem- oder Anwendungspatch selbst verfolgen und testen müssen.