Lokale Lücke mit SYSTEM als Ziel

Microsoft hat CVE-2026-68820 mit den Windows-Sicherheitsupdates vom 11. August 2026 geschlossen. Der Use-after-free-Fehler liegt im Windows Ancillary Function Driver for WinSock (afd.sys). Ein lokal authentifizierter Angreifer kann eine präparierte Anwendung ausführen, eine Race Condition auslösen und bei erfolgreicher Ausnutzung SYSTEM-Rechte erlangen. Benutzerinteraktion ist nicht erforderlich.

Microsoft bewertet die Schwachstelle als „Important“ mit CVSS 7,0. Der lokale Angriffsvektor und die hohe Angriffskomplexität erklären den Wert, senken aber nicht die betriebliche Priorität: Microsoft bestätigt aktive Ausnutzung, und CISA nahm die CVE am 11. August in den KEV-Katalog auf. Die dort für US-Bundesbehörden gesetzte Frist endet am 25. August 2026.

CVE-2026-68820 ermöglicht für sich allein keinen nicht authentifizierten Remote-Zugriff. Ein Angreifer benötigt bereits lokalen Codezugriff unter einem gültigen Konto. In einer Angriffskette kann die Lücke diesen ersten Zugang jedoch zur vollständigen Kontrolle des betroffenen Hosts erweitern.

August-Updates schließen die Schwachstelle

Betroffen sind 30 Produkt- und Architekturkombinationen aus Windows 10, Windows 11 und Windows Server. Für verbreitete Enterprise-Versionen nennt Microsoft folgende reguläre Zielstände:

  • Windows 11: 23H2 mit Build 22631.7517 (KB5120240), 24H2 mit 26100.9168 und 25H2 mit 26200.9168 (jeweils KB5121003), 26H1 mit 28000.2704 (KB5121000).
  • Windows 10: 1607 mit 14393.9418 (KB5120418), 1809 mit 17763.9121 (KB5120238), 21H2 mit 19044.7663 und 22H2 mit 19045.7663 (jeweils KB5120249).
  • Windows Server: 2016 mit 14393.9418 (KB5120418), 2019 mit 17763.9121 (KB5120238), 2022 mit 20348.5499 (KB5120242) und 2025 mit 26100.33296 (KB5120233), einschließlich der jeweiligen Server-Core-Installationen.
  • ESU-Systeme: Windows Server 2012 mit 9200.26280 (KB5120386) und Server 2012 R2 mit 9600.23338 (KB5120385). Ältere Windows-10-Stände erhalten Schutz nur im jeweils berechtigten Wartungs- oder ESU-Kanal.

Für Hotpatch-Systeme gelten die eigenen Paket- und Buildzeilen des Microsoft-Servicing-Kanals. Der Inventarabgleich muss deshalb Edition, Architektur und Updatekanal berücksichtigen. Microsoft dokumentiert keinen Workaround und keine separate Mitigation; das passende August-Update ist die korrigierende Maßnahme.

Tier-0-Systeme zuerst aktualisieren

Die Verteilung sollte bei Domain Controllern, administrativen Arbeitsplätzen, Identitäts- und Managementservern, RDS-Systemen sowie weiteren Hosts mit wertvollen Anmeldesitzungen beginnen. Reine Internet-Exponierung ist hier kein geeigneter Priorisierungsfilter, weil die Schwachstelle nach einem vorhandenen lokalen Zugang greift.

Nach einer repräsentativen Pilotgruppe sollten die Updates innerhalb weniger Tage breit ausgerollt werden. Zu prüfen sind installierte KB, tatsächlicher OS-Build, ausstehende Neustarts und Updatefehler. Nicht aktualisierbare Systeme sollten keine interaktive Nutzung mehr erlauben, eng segmentiert und mit verbindlichem Ablösetermin betrieben werden.

Bei verdächtigen Aktivitäten vor dem Patch reicht die Aktualisierung nicht aus. EDR- und Windows-Telemetrie sollte auf ungewöhnliche Prozessstarts, neue Dienste oder Aufgaben, Zugriffe auf Anmeldeinformationen und Änderungen an privilegierten Gruppen geprüft werden. Microsoft hat keine CVE-spezifischen öffentlichen Indikatoren veröffentlicht; die Prüfung muss daher verhaltensbasiert erfolgen.

Der unmittelbare Check: August-Buildstand aller Windows-Clients und -Server erfassen, Tier-0-Systeme zuerst aktualisieren und Abweichungen bis zum 25. August schließen.