Im Mittelpunkt des August-Patchdays stehen drei Zero-Day-Schwachstellen. Microsoft bezeichnet eine Lücke dann als Zero-Day, wenn sie bereits öffentlich offengelegt wurde oder aktiv ausgenutzt wird, obwohl noch kein offizieller Patch verfügbar ist.
Die bereits in Angriffen ausgenutzte Schwachstelle trägt die Kennung CVE-2026-68820 und betrifft den Windows Ancillary Function Driver for WinSock. Nach Angaben von Microsoft handelt es sich um einen „Use-after-free“-Fehler, über den ein autorisierter Angreifer lokal seine Rechte erhöhen kann. Ein lokal authentifizierter Angreifer könne eine speziell präparierte Anwendung auf einem betroffenen System ausführen, um eine Race-Condition auszulösen. Bei erfolgreicher Ausnutzung seien SYSTEM-Rechte möglich; eine Benutzerinteraktion sei nicht erforderlich.
Die Entdeckung von CVE-2026-68820 schreibt Microsoft Moshe Marelus und David Driker von Checkpoint zu. Check Point erklärte in einem heute veröffentlichten Bericht, dass die Schwachstelle in Zero-Day-Angriffen von den nordkoreanischen Bedrohungsakteuren Lazarus ausgenutzt worden sei, um Schadsoftware nachzuladen. Laut Check Point nutzte die Gruppe CVE-2026-68820 im Microsoft-Treiber AFD.sys, um eine neue Version von FudModule, dem Kernel-Mode-Rootkit von Lazarus, einzusetzen. Microsoft selbst hat keine weiteren Details zur praktischen Ausnutzung veröffentlicht.
Die erste der beiden öffentlich bekannt gewordenen Zero-Days ist CVE-2026-62832 in der Windows User Profile Service. Microsoft beschreibt die Schwachstelle als fehlerhafte Link-Auflösung vor dem Dateizugriff. Ein autorisierter Angreifer könne dadurch lokal seine Rechte ausweiten. Laut Microsoft kann ein authentifizierter Angreifer, der über Zugangsdaten eines anderen lokalen Kontos verfügt, eine speziell präparierte Anwendung ausführen, um den Registry-Hive eines anderen Benutzers zu laden. Das könne Zugriff auf fremde Daten oder deren Veränderung ermöglichen und zu Administratorrechten führen; auch hier sei keine Benutzerinteraktion nötig.
Microsoft schreibt CVE-2026-62832 einem anonymen Forscher zu. Dem Bericht zufolge entsprechen die Details jedoch der Zero-Day-Lücke „LegacyHive“, die der Sicherheitsforscher Nightmare Eclipse im vergangenen Monat veröffentlicht hatte. Will Dormann, leitender Schwachstellenanalyst bei Tharros, hatte zuvor erklärt, dass Nicht-Administratoren LegacyHive ausnutzen können, um den Registry-Hive so zu verändern, dass Befehle mit Administratorrechten ausgeführt werden, sobald sich das Administratorkonto auf einem kompromittierten Gerät anmeldet.
Die dritte Zero-Day-Schwachstelle ist CVE-2026-72971 im Windows Container Isolation FS Filter Driver (unionfs.sys). Microsoft beschreibt auch hier eine fehlerhafte Link-Auflösung vor dem Dateizugriff. Dadurch könne ein autorisierter Angreifer lokal Manipulationen durchführen. In der Beschreibung heißt es zudem, ein authentifizierter Angreifer mit Zugangsdaten eines anderen lokalen Kontos könne eine präparierte Anwendung ausführen, um den Registry-Hive eines anderen Benutzers zu laden. Erfolgreiche Ausnutzung könne Zugriff auf fremde Daten, deren Veränderung und Administratorrechte ermöglichen; eine Benutzerinteraktion sei nicht erforderlich. Zur Offenlegung der Schwachstelle machte Microsoft keine Angaben, nannte aber yhw und txz als Entdecker.
BleepingComputer weist darauf hin, dass in seiner Zählung nur die heute von Microsoft veröffentlichten Sicherheitsupdates berücksichtigt werden. Nicht enthalten sind deshalb einige Schwachstellen in Mariner, Microsoft Teams, Microsoft Azure, Microsoft Entra, Microsoft Office und Power Apps, die Microsoft bereits früher in diesem Monat behoben hatte.