Bei seinem Patch Day am 11. August hat Microsoft Sicherheits-Updates gegen 398 neue Sicherheitslücken bereitgestellt. Das sind zwar deutlich weniger als im Juli, jedoch steht zu befürchten, dass mehrere hundert Lücken pro Monat der neue Standard sein werden. Immerhin ist die Anzahl der aktiv ausgenutzten Sicherheitslücken nicht mitgewachsen. Das spricht ein wenig dafür, dass die Angreifer noch nicht über die neuesten „KI“-Modelle verfügen.
Neben Windows und Office sind auch Teams, Exchange Server, Hyper-V, Windows Defender, Visual Studio und Microsofts Cloud-Dienste sowie weitere Produkte betroffen. Ganze 42 der 398 Schwachstellen stuft Microsoft als kritisch ein, die übrigen sind bis auf eine als hohes Risiko ausgewiesen. Eine Windows-Lücke wird bereits für Angriffe ausgenutzt, zwei waren schon vorab öffentlich bekannt.
Die Details zu den Schwachstellen bietet Microsoft zum Selbstsuchen im Leitfaden für Sicherheitsupdates. Deutlich übersichtlicher bereitet Dustin Childs im Blog von Trend Micro ZDI das Thema Update-Dienstag auf – stets auch mit Blick auf Admins, die Unternehmensnetzwerke betreuen.
- Screenshot 2026-08-12 at 16-31-51 Patch Day Microsoft behebt fast 400 Schwachstellen - PC-WELT.png (54.16 KiB) 4 mal betrachtet
Ein großer Anteil der Schwachstellen, dieses Mal über 200, verteilt sich über die verschiedenen Windows-Versionen (10, 11, Server), für die Microsoft noch Sicherheits-Updates anbietet. Windows 10 wird weiterhin ganz normal als betroffenes System genannt, obwohl die Unterstützung im Oktober 2025 offiziell ausgelaufen ist – das lief bei Windows 7 noch anders, trotz ESU-Programm (Erweiterte Sicherheits-Updates). Microsoft hat das ESU-Programm für Windows 10 auf privat genutzten Rechnern bis 12. Oktober 2027 verlängert.
Attacken auf Winsock
Die einzige Windows-Lücke in diesem Monat, die bereits für Angriffe ausgenutzt wird, ist die UAF-Schwachstelle (use-after-free) CVE-2026-68820 im Windows-Zusatzfunktionstreiber für Winsock. Angreifer können sich höhere Berechtigungen verschaffen. Im Ergebnis können sie Code mit Systemberechtigungen ausführen. Dazu kombinieren sie diesen Exploit mit einer RCE-Lücke (remote code execution).
Kritische Windows-Lücken
Microsoft stuft 18 Windows-Schwachstellen als kritisch ein. Dazu zählt etwa die RCE-Lücke CVE-2026-62878 im Windows DNS-Server. Der Pufferüberlauf kann im Erfolgsfall genutzt werden, um ohne Benutzerinteraktion Code mit erhöhten Rechten auszuführen. Dustin Childs schätzt die Lücke als Wurm-tauglich ein, Microsoft hält eine Ausnutzung für weniger wahrscheinlich.
Die UAF-Lücke CVE-2026-62893 im TFTP-Server der Windows-Bereitstellungsdienste könnte über den UDP-Port 69 ausgenutzt werden, um ohne Benutzerinteraktion Code einzuschleusen und auszuführen. Der Fehler rührt daher, dass Aktionen mit einem Objekt ausgeführt werden, ohne zuvor zu prüfen, ob das betreffende Objekt überhaupt existiert.
Die RCE-Lücke CVE-2026-62815 in QUIC taugt ebenfalls dazu, eingeschleusten Code ohne Benutzerinteraktion auszuführen. QUIC ist ein standardisiertes Protokoll (für HTTP/3), das über UDP läuft. Obwohl lediglich als hohes Risiko ausgewiesen, hat es auch die RCE-Lücke CVE-2026-59124 in sich (CVSS 9.8). Microsofts High Performance Computing (HPC) Pack ist nicht standardmäßig aktiv, daher gilt die Schwachstelle nicht als kritisch. Doch auch hierüber könnten Angreifer eingeschleusten Code ohne Benutzerinteraktion ausführen.
Edge-Updates stopfen über 400 Chromium-Lücken
Das neueste Sicherheits-Update auf Edge 151.0.4129.78 ist vom 10. August und basiert auf Chromium 151.0.7922.109. Es behebt 41 Chromium-Schwachstellen, die bei der oben genannten Gesamtlückenanzahl nicht eingerechnet sind. In dieser Woche gibt es bereits das nächste Chrome-/Chromium-Update mit fünf behobenen Schwachstellen.
Mehr als 100 Office-Lücken geschlossen
In seinen Office-Produkten hat Microsoft 128 Schwachstellen beseitigt, noch mehr als im Juli. Darunter sind 22 als kritisch eingestufte RCE-Lücken (remote code execution), davon fünf in der Office-Grafikkomponente. Oft ist bei kritischen RCE-Lücken in Office bereits das Vorschaufenster ein Angriffsvektor – ein Benutzer muss eine präparierte Datei nicht erst mit Office öffnen, um eine erfolgreiche Attacke zu ermöglichen. Als hohes Risiko ausgewiesene RCE-Lücken können ausgenutzt werden, wenn ein Benutzer eine präparierte Office-Datei in einem anfälligen Office-Produkt öffnet (open-and-own).
Tipp: Unabhängig davon, dass Sie das Betriebssystem stets aktuell halten, sollten Sie die Sicherheit Ihres PCs zusätzlich mit geeigneter Antivirus-Software verbessern. Gute Antivirus-Lösungen stellen wir in „Die besten Antivirus-Programme 2025 im Test: So schützen Sie Ihren Windows-PC“ vor. Falls Sie großen Wert auf anonymes Surfen legen, sind wiederum gute VPN-Programme einen Blick wert.
Kritische Lücke in Exchange Server
In Exchange Server hat Microsoft in diesem Monat sieben Schwachstellen behoben. Als kritisch ist die EoP-Lücke CVE-2026-62911 (CVSS 8.0) ausgewiesen. Die Ausnutzbarkeit dieser Sicherheitslücke wurde im Mai beim Hacker-Wettbewerb Pwn2own in Berlin erfolgreich demonstriert. Ein Angreifer kann die Benutzeranmeldung umgehen und dann alle Mail-Konten übernehmen, Mails senden und empfangen sowie Anhänge herunterladen. Die übrigen sechs Exchange-Lücken sind als hohes Risiko eingestuft, mit CVE-2026-62913 ist auch eine RCE-Lücke darunter.
