CISA hat US-Bundesbehörden bis zum 25. August Zeit gegeben, CVE-2026-68820 zu patchen. Für die Behebung ist ein Neustart der Geräte erforderlich; einen Workaround gibt es nicht. Microsoft bestätigte die laufende Ausnutzung der Lücke am Dienstag.

Die Schwachstelle sitzt in Winsock. Nightwings Nick Carroll verglich den Fehler mit einem Eindringling, der noch durch eine sich schließende Tür schlüpft, um sich anschließend selbst einen VIP-Ausweis mit vollständigem Zutritt für eine gesicherte Anlage auszudrucken. Die Lücke hat einen Schweregrad von sieben von zehn.

Nach Einschätzung von Automox-CTO Jason Kikta besteht der Angriff aus zwei Schritten: Zunächst müssen sich Angreifer per Phishing einen Zugang mit niedrigen Rechten verschaffen, erst dann können sie die Schwachstelle nutzen. Kikta verwies zudem darauf, dass dieselbe Komponente bereits 2024 von der Lazarus Group ausgenutzt worden sei, einer berüchtigten Hackeroperation des nordkoreanischen Reconnaissance General Bureau. CVE-2026-68820 sei der zentrale Punkt der diesmonatigen Patch-Runde, weil sie als einzige bestätigte, aktiv ausgenutzte Schwachstelle alle verwalteten Windows-Endpunkte betreffe. Das Ausnutzungsmuster sei erkennbar, allerdings nur dann, wenn die Erkennung auch Race-Condition-Missbrauch in Kernel-Treibern abdecke.

Check Point teilte mit, das Unternehmen habe die Lücke an Microsoft gemeldet, nachdem sie bei der Untersuchung der jüngsten Angriffswelle der Operation „Dream Job“ entdeckt worden war. In einem am Dienstag veröffentlichten Bericht beschreibt Check Point, dass Lazarus-Akteure sich als Personalvermittler von Lockheed Martin und dem Datenschutztechnik-Unternehmen Enveil ausgaben. Die Angreifer nahmen über LinkedIn und andere Seiten Kontakt zu Bewerbern auf und versendeten anschließend schädliche PDF-Dateien.

Laut Check Point aktiviert das Öffnen dieser Dateien eine Hintertür, die Lazarus langfristigen Fernzugriff ermöglicht. Die Schadsoftware sammelt zunächst Informationen über das infizierte Gerät und startet danach den Exploit für CVE-2026-68820. Die Forscher hielten das Problem anfangs für verwandt mit einer im vergangenen Jahr behobenen Schwachstelle, kamen nach weiteren Tests jedoch zu dem Schluss, dass es sich um einen neuen Fehler handelt. Die Lücke erlaubt es einem Angreifer, der bereits Schadsoftware auf ein System gebracht hat, seine Rechte von begrenztem Zugriff auf vollständige Kontrolle auszuweiten — also auf ein Niveau, das normalerweise dem Betriebssystem selbst vorbehalten ist.

Sergey Shykevich, Director of Threat Intelligence bei Check Point, sieht die besondere Gefährlichkeit der Kampagne nicht nur in der Zero-Day-Lücke, sondern in Lazarus’ Fähigkeit, an jeder Phase des Angriffs legitime und vertrauenswürdig wirkende Infrastruktur einzubinden. Die Akteure hätten sich offen verborgen — hinter hoch platzierten Suchergebnissen, echtem Herstellerauftritt und dem Ruf von Organisationen, die sie bereits kompromittiert hatten. Wenn Website, Download und Recruiter authentisch wirkten, lasse sich der alte Rat, schlicht den Phishing-Link zu erkennen, nicht mehr so leicht anwenden.

Den Forschern zufolge reichten die Ziele über mehrere Verteidigungsbereiche hinweg, darunter Überwachungssensoren, Drohnen und Robotik, in Frankreich, Deutschland, Brasilien und Indien. Sicherheitsforscher mehrerer Unternehmen verfolgen die Operation DreamJob bereits seit 2020. Google warnte 2022, dass 250 Beschäftigte aus zehn verschiedenen Nachrichtenmedien, Domain-Registraren, Webhosting-Anbietern und Softwareherstellern Ziel der Kampagne waren; sie erhielten schädliche E-Mails von falschen Recruitern, die vorgaben, von Disney, Google und Oracle zu kommen. ESET hatte zuvor Kompromittierungen im Zusammenhang mit der Kampagne in Indien, Polen, Großbritannien und zuletzt Italien verfolgt.

CISAs Anordnung fällt zudem in eine Phase, in der das FBI nach eigenen Angaben einen Vorfall untersucht, bei dem eine nicht genannte Bundesbehörde irrtümlich einen IT-Mitarbeiter aus Nordkorea eingestellt hat. Der Fall steht laut FBI im Zusammenhang mit der langfristigen nordkoreanischen Kampagne zur Infiltration von Organisationen weltweit.