August Alert: aktiver Betrieb von CVE-2026-68820 und vier kritischen CERs Fehler ohne Authentifizierung unter Windows

Microsoft veröffentlicht in seinem monatlichen Patch-Zyklus und unter den August-Korrekturen gibt es eine Schwachstelle, die das Unternehmen selbst als aktiv genutzt: CVE-2026-68820. Dies ist ein Ausfall in der afd.sys Core-Controller, der Kernel-Komponente, die Windows-Sockel-Betriebe verwaltet (der sogenannte Antike-Funktionstreiber für WinSock). Nach den verfügbaren technischen Analysen ist es eine Bedingung von benutzerfrei / Rennen die es ermöglicht, dass Code bereits auf einer Maschine läuft, Privilegien auf das SYSTEM-Konto zu erhöhen. Microsoft hat die Intrusionen nicht öffentlich zugeschrieben; Check Point Research hat berichtet, dass Schauspieler Lazarus diesen Zero-Day in der Kampagne "Operation Dream Job" verwendet. (offizielle Quellen und technische Analyse: Microsoft Security Update Guide, Prüfstelle Forschung.

Konfirmierte Fakten: Microsoft markiert CVE-2026-68820 wie in der Natur ausgenutzt und klassifiziert es mit einer mittleren Schwerkraft (CVSS 7.0). Der beschriebene Mechanismus ist abhängig von einer Rassenbedingung in afd.sys, was bedeutet, dass ein Angreifer zuerst Code im Zielsystem ausführen muss, um es zu nutzen und von dort SYSTEM Privilegien zu erhalten. Informationen gemeldet, aber nicht von Microsoft bestätigt: Check Point Forschungsattribute verwenden dieses Misserfolgs von Lazarus in einer bestimmten Kampagne; Microsoft hat noch keinen Beitrag veröffentlicht.

Technisch ist ein gebrauchsfreier in einem Kernel-Netzwerk-Controller gefährlich, da der Kernel zentrale Ressourcen verwaltet und SYSTEM-Rechte eine vollständige Kontrolle von Geräten und Anmeldeinformationen im Speicher ermöglichen. Der beschriebene Vektor erfordert das Vorliegen eines vorherigen feindlichen Codes (z.B. eine kompromittierte Anwendung, bereits ausgeführtes schädliches Makro, oder Remote Shell durch einen anderen Ausfall erhalten). Sobald der Angreifer den lokalen Code ausführt, gibt ihm die Ausbeutung des Rennens in afd.sys den letzten Schritt hin zur vollständigen Kontrolle des Systems, wodurch Beharrlichkeit, Entfaltung von Rootkits und seitlicher Bewegung im Netzwerk erleichtert wird.

Zusätzlich zu diesem Zero-Day-Betrieb enthält das Update-Paket vier Schwachstellen mit CVSS 9.8 Score, die Remote-Ausführung ohne Authentifizierung ermöglichen können (d.h. "kein Konto, kein Passwort, kein Klick"): CVE-2026-62878 auf Windows DNS Server (Überlauf von Puffer in Stack, ZDI beschreibt es als "wormable"), CVE-2026-62893 auf Windows Deployment Services (TFTP), CVE-2059. Microsoft deutete nicht auf eine aktive Ausbeutung für diese vier Fehler bei der Veröffentlichung der Patches. Die praktische Bedeutung dieser CER hängt davon ab, dass der verletzliche Service installiert und aus dem Netzwerk des Angreifers zugänglich ist.

Nützliche Unterscheidungen: ZDI (Zero Day Initiative) konstatiert die Größe des Patchpakets und klassifiziert technische Bedingungen als "verehrbar", wenn eine Sicherheitsanfälligkeit eine automatische Ausbreitung erlaubt; das ist ein technischer Indikator, nicht der Nachweis, dass ein Wurm bereits besteht, indem er es ausnutzt. Microsoft priorisiert die aktive Ausbeutung über dem reinen CVSS-Score, indem es die Reihenfolge der Patching anzeigt; daher CVE-2026-68820 (exploitiert) nimmt Vorrang vor seiner niedrigeren Punktzahl.

Ein weiterer relevanter Punkt, der den August-Zyklus beendet, ist die zweite Hälfte einer SharePoint-Kette, die von Rapid7 berichtet wird. Im Juli Microsoft gepatchte CVE-2026-55040, eine Authentifizierungs-Bypass (Kritisch, 9.1), die erlaubt, die Identität eines Benutzers oder Administrators zu supplantieren, wenn die Identität bekannt war, gefälscht zu werden. Im August wird das Fernausführungsteil mit CVE-2026-63520 geschlossen. Rapid7 berichtete die erste Kette an Microsoft; die Kombination beider Fehler war die, die eine unauthenticated CERs in On-Premises Umgebungen erlaubte. Microsoft teilte die Minderung in zwei Updates; die Anwendung des 1. Juli war bereits unterbrechen die Kette und der 1. August ist über der Korrektur.

Welche wirklichen Konsequenzen kann dies haben: für Endpunkte, bei denen ein Angreifer bereits Codeausführung hat, bietet CVE-2026-68820 den Weg, SYSTEM anzuheben und Workstations und Server vollständig zu beauftragen. Für die vier Bugs 9.8 könnte ein Remote-Angreifer ohne Anmeldeinformationen Code auf exponierten Servern (DNS, WDS, QUIC, HPC) ausführen, der anfängliche und potenzielle Selbstverpflichtungen innerhalb von Netzwerken mit zugänglichen Diensten erleichtert. In SharePoint würde das Fehlen beider Patches eine Route für CERs ohne Authentifizierung verlassen.

Spezifische und geordnete Empfehlungen (praktische Aktionen): in Produktionsumgebungen, Priorität nach Exposition und aktive Ausbeutung.

1) Sofortiges Patch von Systemen, die ein lokales Klettern riskieren: für Geräte, bei denen es eine Möglichkeit gibt, dass ein Angreifer bereits Code ausgeführt hat (z.B. Arbeitsstationen mit Benutzern, die Phishing ausgesetzt sind, Umgebungen mit unzuverlässigen Prozessen), installieren Sie das Patch für CVE-2026-68820 als Priorität und Neustart wie von Microsoft angegeben.

2) Plot oder Minderung exponierter kritischer Remote-Dienste: identifiziert Server, die Windows DNS Server, Windows Deployment Services (WDS / TFTP), Microsoft QUIC oder HPC Pack ausführen. Wenn der Dienst nicht erforderlich ist, deinstallieren Sie es oder blockieren Sie es aus dem Umfang (Filter Ports: 53 TCP / UDP für DNS, 69 UDP für TFTP / WDS, 443 UDP für QUIC) um Patches anzuwenden. Wenn Sie aktiv bleiben müssen, planen Sie das dringende Update und die Voreinstellungsprüfung.

3) Korrekte SharePoint On-Premises: bestätigen, dass die On-Premises Farmen den Juli (CVE-2026-55040) und August (CVE-2026-63520) Korrektur angewendet. Beide sind notwendig, um die Kette zu schließen, die Rapid7 gezeigt hat.

4) Inventar und Segmentierung: eine Bestandsaufnahme von installierten Rollen und Servern, die im Internet zuhören; priorisieren Sie diejenigen, die aus dem Internet zugänglich sind. Bewerben Sie Segmentierungs- und Kontrolllisten, um den Umfang der Verwaltungsdienste zu begrenzen.

(5) Erkennung und Eindämmung: Telemetrie / EDR aktivieren, um Versuche zu erkennen, Privilegien zu erhöhen (Token-Manipulation, verdächtige Kernel-Anrufe, aff.sys Instabilität). Überprüfen Sie Protokolle und Alarme im Zusammenhang mit afd.sys Fehlern, Beginn von ungewöhnlichen Prozessen mit SYSTEM Privilegien und eingehende Verbindungen zu gefährdeten Dienstleistungen. Betrachten Sie Suchanfragen von IOC und Verhalten (z.B. Prozesse, die versuchen, Steckdosen auf der Kernelebene nach ungewöhnlicher Netzwerkaktivität zu manipulieren).

(6) Prüfungen und kontrollierte Bereitstellung: bewerben Sie Patches zuerst in Testumgebungen, bestätigen Sie die Kompatibilität (Drittanbieter-Treiber, die mit WinSock interagieren, benötigen möglicherweise zusätzlichen Test) und setzen Sie dann auf Produktion mit WSUS / Intune / SCCM nach Ihrem Prozess.

Was bestätigt wird, ist die Existenz der aktiven Explosion für CVE-2026-68820 und die Anwesenheit von vier entfernten CERs ohne hohe Auswirkungen Authentifizierung. Die Ungewissheit: die tatsächliche Ausweitung der Kundenbindungen und die vollständige Zuschreibung von Microsoft (die sie noch nicht veröffentlicht hat). In jedem Fall macht die Kombination - aktiver Betrieb auf einem Netzwerk-Controller und mehrere Schwerkraft-RCEs - diesen August-Patch-Zyklus so, dass Sicherheitsteams sofort mit Inventar, Belichtungsminderung und Update-Bereitstellung adressieren müssen. Weitere Informationen zu den Anzeigen und Patches finden Sie in der Microsoft-Update-Führung und den öffentlichen technischen Analysen der Labors, die Ergebnisse zu diesen Fehlern veröffentlicht haben ( MSRC Update Guide, Prüfstelle Forschung, Zero Day Initiative)