CVE-2026-68820 hat einen CVSS-Wert von 7,0, liegt bei der Priorisierung aber dennoch vor den höher bewerteten Server-Schwachstellen. Der Grund ist laut Microsoft der bereits laufende Missbrauch. Die Ausnutzung beruht auf dem Auslösen einer Race Condition im Treiber. Da ein Angreifer dafür bereits Code auf dem betroffenen System ausführen muss, handelt es sich um eine Schwachstelle zur Rechteausweitung und nicht um einen direkten Einstiegspunkt aus der Ferne.
Check Point Research beschreibt die Lücke als Use-after-free in afd.sys. Der betroffene Treiber ist der Ancillary Function Driver for WinSock und gehört zu den Kernel-seitigen Komponenten von Windows für die Netzwerkkommunikation. Wer den Fehler nach einer ersten Kompromittierung ausnutzt, kann dadurch SYSTEM-Rechte erlangen.
Parallel dazu hat Microsoft vier nicht authentifizierte Schwachstellen zur Remotecodeausführung geschlossen, die jeweils einen CVSS-Wert von 9,8 tragen. Betroffen sind Windows DNS Server, Windows Deployment Services, Microsofts QUIC-Implementierung und der High Performance Computing Pack. Für keine dieser vier Lücken meldete Microsoft zum Zeitpunkt der Veröffentlichung eine aktive Ausnutzung. Dennoch sind sie aus Sicht der Priorisierung direkt hinter dem Treiberfehler einzuordnen, weil sie einem Angreifer ohne Konto und ohne Benutzeraktion Codeausführung auf einem Server ermöglichen können.
Wie dringlich diese vier Patches jeweils sind, hängt laut Quelltext aber auch von der tatsächlichen Angriffsfläche ab. HPC Pack ist nicht standardmäßig installiert. Auch bei DNS, WDS und QUIC entscheidet die Priorität mit darüber, ob der jeweilige Dienst in einer Umgebung überhaupt vorhanden und erreichbar ist. Inventarisierung der Dienste und deren Erreichbarkeit sind daher für die Reihenfolge der Installation mit ausschlaggebend.
Unabhängig gezählt kommt die Zero Day Initiative auf 398 neue CVEs in diesem Monat, davon 62 mit der Einstufung Kritisch. Diese Zahl zeigt vor allem den Umfang des Patch-Dienstags; für die Reihenfolge der Updates sind laut Quelltext vor allem Ausnutzungsstatus und Reichweite der Schwachstellen entscheidend.
Ebenfalls abgeschlossen wurde im August eine zweiteilige SharePoint-Korrektur, die im Juli begonnen hatte. Rapid7 Labs meldete Microsoft am 18. Mai eine Angriffskette, die eine Authentifizierungsumgehung mit einer separaten Schwachstelle zur Codeausführung verband und so eine nicht authentifizierte Remotecodeausführung gegen lokale SharePoint-Farmen ermöglichte. Microsoft bestätigte zwei Tage später, dass die Behebung auf die Update-Zyklen im Juli und August aufgeteilt werden sollte.
Im Juli schloss Microsoft zunächst CVE-2026-55040, eine kritische Authentifizierungsumgehung mit CVSS 9,1. Rapid7 stellte fest, dass ein entfernter Angreifer ohne Authentifizierung damit die Identität eines SharePoint-Site-Benutzers oder Administrators annehmen kann, sofern dem Angreifer die zu imitierende Identität bekannt ist. Das August-Update liefert nun die Korrektur für die Komponente zur Remotecodeausführung unter der Kennung CVE-2026-63520.
Rapid7 betont, dass CVE-2026-63520 allein nicht die nicht authentifizierte Bedingung herstellt. Erst die Verkettung mit CVE-2026-55040 führte zu der demonstrierten nicht authentifizierten Remotecodeausführung. Nach Angaben von Rapid7 unterbricht bereits das Schließen von CVE-2026-55040 die gezeigte Angriffskette; mit dem August-Update ist nun zusätzlich auch die RCE-Komponente behoben. Für lokale SharePoint-Farmen sollten daher sowohl das Juli-Update für CVE-2026-55040 als auch das August-Update für CVE-2026-63520 installiert sein.