Die einzige in diesem Monat von Microsoft behobene bekannte Zero-Day-Schwachstelle trägt die Kennung CVE-2026-68820. Es handelt sich um eine Privilegienausweitung in der zentralen Windows-Komponente afd.sys. Die Sicherheitsfirma Automox beschreibt diese Komponente als den Treiber hinter Windows-Socket-Verbindungen auf praktisch jedem Endpunkt.

Landon Miles von Automox ordnete die Lücke in einem Patch-Tuesday-Blogbeitrag als zweiten Schritt in einer Angriffskette ein: Demnach verschaffen sich Angreifer zunächst per Phishing einen Zugang mit geringen Rechten und nutzen anschließend den Fehler im Treiber, um die Kontrolle über das System zu übernehmen. Die CVSS-Bewertung von 7,0 spiegele die hohe Angriffskomplexität wider, weil es sich um eine Race Condition handle, deren Ausnutzung wiederholt versucht werden müsse, bis das Timing passe. Dass die Lücke trotzdem aktiv ausgenutzt werde, zeige, dass dies Angreifern offenbar gelingt.

Eine weitere Schwachstelle, die Microsoft als wahrscheinlich ausnutzbar einstuft, ist CVE-2026-62832. Auch dabei geht es um eine Privilegienausweitung, diesmal im Windows User Profile Service. Dem Bericht zufolge könnte sie mit der kürzlich öffentlich bekannt gewordenen „LegacyHive“-Offenlegung des Sicherheitsforschers Nightmare Eclipse zusammenhängen.

Die zweite bereits vorab öffentlich beschriebene Schwachstelle ist CVE-2026-72971. Microsoft bewertet sie als lokale Manipulationslücke mit geringer Auswirkung und geht davon aus, dass eine Ausnutzung unwahrscheinlich ist.

Nicht nur Microsoft erhöht derzeit Takt und Umfang seiner Sicherheitsupdates. Der Bericht nennt auch Adobe, das im vergangenen Monat auf zwei Sicherheitsbulletins pro Monat umgestellt hat, jeweils am zweiten und vierten Dienstag. Auch Cisco, Google, Mozilla und Oracle liefern demnach deutlich häufiger und umfangreicher Updates aus.

Im Text wird diese Entwicklung mit dem Einsatz von Künstlicher Intelligenz bei der Suche nach Schwachstellen verknüpft. Laut Bericht ist KI derzeit sehr gut darin, Sicherheitslücken in Software aufzuspüren. Offen bleibt jedoch, wie gut dieselben Technologien beim Beheben dieser Fehler sind.

Forscher von 1Password haben dazu untersucht, wie verschiedene große Sprachmodelle Patches für neu veröffentlichte, komplexe Schwachstellen erzeugen. Ihr Ergebnis: In mehr als der Hälfte der Fälle beseitigten die erzeugten Patches die Lücke nicht oder führten eine neue Schwachstelle ein — oder beides zugleich.

Ed Skoudis, Präsident des SANS Technology Institute, erklärte dagegen, sein Team habe sehr gute Ergebnisse beim Einsatz von KI zur Patch-Erstellung gesehen, sofern Menschen die vorgeschlagenen Korrekturen testen und in mehreren Schritten verbessern. Er schrieb in einem SANS-Newsletter, KI werde zwar erstaunlich gut bei der Suche nach Schwachstellen, doch deren Behebung sei ein grundsätzlich anderes Problem. Verlässliche Einmal-Korrekturen durch KI seien nicht zu erwarten; stattdessen brauche es wiederholtes Testen, Hinterfragen, Verbessern und Verifizieren.

Tyler Reguly von Fortra verwies darauf, dass trotz der fast 400 behobenen Fehler nur eine einzige der jetzt geschlossenen Lücken als aktiv ausgenutzt bekannt ist. Zugleich müssten viele Organisationen mit dem steigenden Patch-Aufwand umgehen, zu dem auch das Testen von Korrekturen vor dem Einsatz in Produktivumgebungen gehört.