Microsoft hat zum August-Patchday mehrere hundert Schwachstellen geschlossen. 62 davon sind laut Microsoft kritische Lücken, obwohl die CVSS-Werte niedrigerer sind. Allerdings haben diese Lücken wohl eine höhere Ausnutzbarkeit oder werden wie in einem Fall bereits aktiv ausgenutzt.
In der eigenen Update-Übersicht bewertet der Konzern zahlreiche Lücken als „Critical“, obwohl einige davon nach dem branchenweit verwendeten CVSS-Bewertungssystem niedrigere Werte erreichen. Für die Priorisierung sollten Unternehmen daher nicht nur auf den CVSS-Score schauen, sondern auch auf Microsofts Einstufung, Ausnutzbarkeit und die Bedeutung des betroffenen Systems.
Über 400 Schwachstellen – über 60 kritisch
Insgesamt wurden je nach Zählweise 398 bis 421 Schwachstellen behoben; Microsoft stufte 62 davon als kritisch ein. Unterschiede entstehen unter anderem durch die Zählung einzelner CVE-Einträge und betroffener Produktfamilien. Allerdings sollten Unternehmen nicht nur nach den CVSS-Werten gehen, sondern nach der wirklichen Gefahr.
Das Beispiel CVE-2026-68820 zeigt, warum eine alleinige Betrachtung des CVSS-Werts zu kurz greift: Microsoft bewertet die Schwachstelle mit einem CVSS-Wert von 7.0 als „Important“, obwohl sie aktiv ausgenutzt wird. Eine lokal erforderliche Anmeldung senkt zwar den CVSS-Wert, ändert aber nichts daran, dass der Angreifer nach einem ersten Zugriff die Rechte auf dem System erweitern können.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenUmgekehrt können nicht authentifizierte Remote-Code-Execution-Lücken mit CVSS 9.8 besonders gefährlich sein, wenn sie internetnahe Unternehmensdienste wie DNS, Storage oder Kollaborationsplattformen betreffen. Für die Patch-Reihenfolge sollten IT-Teams deshalb Microsofts Schweregrad, bekannte Angriffe, Erreichbarkeit aus dem Netzwerk und die Rolle des betroffenen Systems gemeinsam bewerten. Hier sind fünf besonders wichtige Schwachstellen aus dem Microsoft-Security-Bericht:
- CVE-2026-68820 – Windows Ancillary Function Driver for WinSock, CVSS 7.0 – Kritisch
Die aktiv ausgenutzte Schwachstelle ermöglicht lokalen Angreifern eine Rechteausweitung bis zu den SYSTEM-Berechtigungen. Der vergleichsweise niedrigere CVSS-Wert täuscht. Die Schwachstelle wird aktiv von der Lazarus-Gruppe ausgenutzt und gilt daher als kritisch. Sie wurde auch in den Katalog der CISA aufgenommen. - CVE-2026-62878 – Windows DNS Server, CVSS 9.8 – Kritisch
Ein unauthentifizierter Angreifer kann einen stapelbasierten Pufferüberlauf über das Netzwerk auslösen und eigenen Code auf dem DNS-Server ausführen. - CVE-2026-62815 – Microsoft QUIC, CVSS 9.8 – Kritisch
Eine Use-after-free-Schwachstelle im Netzwerkprotokoll Microsoft QUIC erlaubt unter bestimmten Bedingungen eine nicht authentifizierte Remote-Code-Ausführung. - CVE-2026-65791 – Windows iSCSI Target Service, CVSS 9.8 – Kritisch
Angreifer können über das Netzwerk ohne vorherige Anmeldung Schadcode auf betroffenen Storage-Systemen ausführen und dadurch zentrale Speicher- und Serverinfrastrukturen gefährden. - CVE-2026-63520 – Microsoft SharePoint Server, CVSS 8.1
Die Schwachstelle in SharePoint kann mit einer weiteren Lücke zu einer nicht authentifizierten Remote-Code-Ausführung verkettet werden und ist deshalb besonders für lokal betriebene SharePoint-Installationen relevant.
Außerdem sollten Security-Verantwortliche die Veröffentlichungen von Chaotic Eclipse im Fokus haben, der immer wieder neue 0-Day-Schwachstellen für Microsoft veröffentlicht.
Mehr bei Microsoft.com
Über Microsoft Deutschland Die Microsoft Deutschland GmbH wurde 1983 als deutsche Niederlassung der Microsoft Corporation (Redmond, U.S.A.) gegründet. Microsoft hat es sich zur Aufgabe gemacht, jede Person und jedes Unternehmen auf der Welt zu befähigen, mehr zu erreichen. Diese Herausforderung kann nur gemeinsam gemeistert werden, weshalb Diversität und Inklusion seit den Anfängen fest in der Unternehmenskultur verankert sind. Als weltweit führender Hersteller von produktiven Softwarelösungen und modernen Services im Zeitalter von intelligent Cloud und intelligent Edge, sowie als Entwickler innovativer Hardware, versteht sich Microsoft als Partner seiner Kunden, um diesen zu helfen, von der digitalen Transformation zu profitieren. Sicherheit und Datenschutz haben bei der Entwicklung von Lösungen oberste Priorität. Als weltweit größter Beitragsgeber treibt Microsoft die Open-Source-Technologie über seine führende Entwicklerplattform GitHub voran. Mit LinkedIn, dem größten Karriere-Netzwerk, fördert Microsoft die berufliche Vernetzung weltweit.