Skip to content
Redaktionelle StandardsWerben
MeridiansUnabhängige Berichterstattung, Tests und Kaufberatung
LIVE
Software/

Eine Windows-Lücke wird aktiv angegriffen – ein Patch allein reicht nicht, es braucht einen Neustart

Die US-Behörde CISA hat diesen Monat eine Schwachstelle in einem Windows-Kerneltreiber in ihren Katalog aktiv ausgenutzter Lücken aufgenommen, nachdem Angreifer darüber ein Rootkit installiert hatten. Das Update zu installieren genügt nicht: Die Korrektur greift erst nach einem Neustart.

Meridians Technik-Redaktion

Published 26. August 2026 · Updated 26. August 2026 · 4 min read

Eine Windows-Lücke wird aktiv angegriffen – ein Patch allein reicht nicht, es braucht einen NeustartSoftware
Photo: Photo by cottonbro studio / Pexels (Pexels License — free to use, no attribution legally required (credited above as good practice).)

The short answer

  • Microsofts Patch Tuesday im August 2026 schloss am 11. August 400 Schwachstellen, darunter 42 als kritisch eingestufte und drei Zero-Days.
  • Die CISA nahm CVE-2026-68820 – eine Lücke im Windows-WinSock-Treiber, über die die Lazarus-Gruppe das Rootkit FudModule installierte – am 11. August in ihren Katalog bekannter ausgenutzter Schwachstellen auf.
  • Weil die Korrektur einen Kerneltreiber ersetzt, ist die Behebung mit der Installation des Patches laut CISA nicht abgeschlossen – das System muss zusätzlich neu gestartet werden.
  • Nach der CISA-Anweisung BOD 26-04 hatten US-Bundesbehörden 3 Tage Zeit für aus dem Internet erreichbare Systeme und 14 Tage für interne Systeme – die interne Frist endete am 25. August.

Microsofts Patch Tuesday vom 11. August 2026 schloss 400 Schwachstellen in verschiedenen Produkten, davon 42 als kritisch eingestuft. Drei davon waren Zero-Days – Lücken, die bereits bekannt waren, bevor es eine Korrektur gab. Für eine davon ist inzwischen bestätigt, dass sie aktiv angegriffen wird, und die US-Cybersicherheitsbehörde CISA betont, dass der Patch nur die halbe Arbeit ist.

Die Lücke, die aktiv ausgenutzt wird

CVE-2026-68820 ist eine Schwachstelle zur Rechteausweitung im Ancillary Function Driver for WinSock (afd.sys), einer zentralen Netzwerkkomponente von Windows. Die CISA nahm sie am 11. August in ihren Katalog bekannter ausgenutzter Schwachstellen (Known Exploited Vulnerabilities, KEV) auf – am selben Tag, an dem Microsoft die Korrektur veröffentlichte. Sicherheitsforscher, die die Angriffe verfolgen, schreiben sie Lazarus zu, einer mit Nordkorea in Verbindung gebrachten Hackergruppe. Sie nutzte die Lücke, um ein Rootkit namens FudModule zu installieren – Schadsoftware, die sich tief im Betriebssystem einnistet und übliche Bereinigungsmaßnahmen übersteht.

Zwei weitere Zero-Days, bislang ohne gemeldete Angriffe

  • CVE-2026-62832 – eine Schwachstelle zur Rechteausweitung im Windows-Benutzerprofildienst, teilweise als „LegacyHive“ bezeichnet, die vor Microsofts Korrektur öffentlich bekannt wurde.
  • CVE-2026-72971 – eine Manipulationsschwachstelle im Windows Container Isolation FS Filter Driver, ebenfalls vor dem Patch öffentlich gemacht.

Warum der Patch allein die Sache nicht erledigt

Die CISA erklärt in ihren Hinweisen zu CVE-2026-68820, dass die Korrektur einen Treiber auf Kernel-Ebene ersetzt und das System deshalb erst nach einem Neustart vollständig bereinigt ist. Nach der Binding Operational Directive 26-04 der CISA, die je nach Exponiertheit Fristen von 3 bis 14 Tagen vorsieht, mussten die zivilen US-Bundesbehörden aus dem Internet erreichbare Systeme bis zum 14. August absichern und interne, nicht exponierte Systeme bis zum 25. August – also bis gestern.

Wenn Sie einen Windows-Rechner seit Anfang August nicht neu gestartet haben, genügt die Suche nach Updates allein nicht. Öffnen Sie Einstellungen > Windows Update, prüfen Sie, ob das kumulative Update vom August installiert ist, und starten Sie den Rechner neu – der Treiberaustausch wird erst mit dem Neustart wirksam.

Sources

Every factual claim above is traceable to these documents. Check them — that is why they are here.

About this byline

Meridians Technik-Redaktion is an editorial desk at Meridians, not an individual. A desk byline means the article was produced and fact-checked to that desk's published standards. Read our editorial standards and corrections policy.

Anzeige

Paid placement · not editorial

Related reading

The Meridians Brief

One considered email a week

What changed, what it costs you, and what to do about it — from the Meridians desks. No sponsored picks disguised as recommendations.

Sign-up opens with our launch issue. Nothing is sent or stored yet.