Es ist bereits der zweite Monat in Folge, in dem Microsofts Patch Tuesday deutlich über dem üblichen Umfang liegt. Im Juli hatte das Unternehmen sogar 622 eigenständige CVEs behoben. Microsoft hatte Organisationen darauf vorbereitet, dass kurzfristig mit erhöhten Patch-Mengen zu rechnen sei, weil der Hersteller wie andere Softwareanbieter verstärkt KI-Werkzeuge zur Identifizierung von Schwachstellen in den eigenen Produkten einsetzt.
Nach Einschätzung von Tyler Reguly, Associate Director of Security R&D bei Fortra, sollten Sicherheitsteams den Umfang der Updates vor allem richtig einordnen. Er verwies darauf, dass 236 der 421 CVEs Windows betreffen und über das kumulative Update abgedeckt sind. Weitere 98 entfallen auf Office und sind ebenfalls über kumulative Updates behoben, sofern nicht weiterhin Office 2016 eingesetzt wird.
Als wichtigste Schwachstelle der August-Runde gilt CVE-2026-68820 mit einem CVSS-Wert von 7,0. Dabei handelt es sich um eine aktiv ausgenutzte Zero-Day-Lücke zur Rechteausweitung im Windows Ancillary Function Driver for WinSock. Ein lokal authentifizierter Angreifer kann damit seine Rechte erhöhen und SYSTEM-Zugriff auf betroffenen Systemen erlangen; eine Benutzerinteraktion ist dafür nicht erforderlich. Amol Sarwate, Leiter Sicherheitsforschung und REDLab bei Cohesity, warnte, dass der Treiber auf den meisten Windows-Systemen vorhanden sei und Angreifern damit ein breites Ziel sowie einen möglichen Weg von eingeschränktem Zugriff zur vollständigen Kontrolle eröffne.
Unmittelbare Aufmerksamkeit verdient laut Microsoft auch CVE-2026-62832 mit einem CVSS-Wert von 7,8. Die Schwachstelle war bereits vor dem Update öffentlich bekannt, und Microsoft geht davon aus, dass Angreifer sie in naher Zukunft wahrscheinlich ausnutzen werden. Sarwate zufolge könnte die Lücke zusammen mit CVE-2026-68820 dazu dienen, aus einem ersten Zugriff eine vollständige Systemkompromittierung zu machen. Für Verteidiger sei dieses Paar deshalb in diesem Monat die klare Priorität.
Unter den zahlreichen weiteren kritischen Schwachstellen hebt Dustin Childs, Leiter Threat Awareness bei der Zero Day Initiative, vor allem CVE-2026-62878 hervor. Die mit CVSS 9,8 bewertete Schwachstelle im Windows DNS Server ermöglicht Remotecodeausführung ohne Benutzerinteraktion. In einem Blogbeitrag beschrieb Childs die nahezu maximal schwere Lücke als einen klassischen stackbasierten Pufferüberlauf, der sich wurmartig verbreiten könne. Zwar halte Microsoft eine Ausnutzung für weniger wahrscheinlich, Childs riet jedoch dazu, die Schwachstelle zügig zu testen und auszurollen, insbesondere auf DNS-Servern mit Internet-Anbindung.
Mike Walters, Präsident und Mitgründer von Action1, machte zudem auf CVE-2026-62815 aufmerksam. Die mit CVSS 9,8 eingestufte Schwachstelle zur Remotecodeausführung betrifft Microsofts Implementierung des Netzwerktransportprotokolls QUIC. Da weder Authentifizierung noch Benutzerinteraktion erforderlich seien, könnten exponierte verwundbare Dienste laut Walters ein erhebliches organisatorisches Risiko darstellen.
Microsoft vergab auch für mehrere weitere Schwachstellen CVSS-Werte von 9,0 oder höher. Dazu gehören CVE-2026-63508, eine Rechteausweitung mit maximaler Schwere in Microsoft Planetary Computer Pro, CVE-2026-70332 mit CVSS 9,6, eine Spoofing-Schwachstelle in Microsoft Office SharePoint, CVE-2026-59115 mit CVSS 9,9, eine Rechteausweitung im Microsoft Entra Provisioning Service, sowie CVE-2026-62873 mit CVSS 9,8, ebenfalls eine Rechteausweitung im Microsoft 365 Admin Center. Trotz der hohen Bewertungen stufte Microsoft mehrere dieser kritischen Lücken als weniger wahrscheinlich ausnutzbar ein, unter anderem wegen der Angriffskomplexität oder weil für eine Ausnutzung Benutzerinteraktion nötig ist.