Angriff LIVE 🚨 Windows 11, 10 und Server werden jetzt gehackt — aber Microsoft schließt die Tür
Von Jörg SchockErster Hauptkommissar a. D. · über 35 Jahre Hamburger Polizei
Kurz gesagt: Microsoft hat am August-Patchday eine bereits aktiv ausgenutzte Sicherheitslücke im WinSock-Treiber von Windows 11, Windows 10 und mehreren Windows-Server-Versionen geschlossen (CVE-2026-68820). Angreifer können sich darüber Systemrechte verschaffen - laut IT-Sicherheitsfirma Check Point steckt die nordkoreanische Lazarus-Gruppe hinter der Ausnutzung, die Rüstungsfirmen ins Visier nahm. Da es keinen Workaround gibt, führt an der zügigen Installation des Updates (KB5121003 für Windows 11, KB5120249 für Windows 10) kein Weg vorbei. Insgesamt schließt der Patchday 398 Sicherheitslücken, 42 davon als kritisch eingestuft - eine weitere, besonders schwere DNS-Server-Lücke gilt zusätzlich als potenziell wurmfähig.
Symbolbild: KI-generiert
Wer seinen Windows-Rechner in den vergangenen Tagen nicht aktualisiert hat, läuft Gefahr, dass Kriminelle sich unbemerkt Administratorrechte auf dem System verschaffen. Grund ist eine Sicherheitslücke, die Microsoft im Rahmen seines August-Patchdays geschlossen hat - allerdings erst, nachdem sie bereits aktiv für Angriffe missbraucht wurde, wie WinFuture berichtet.
Was genau angegriffen wird
Betroffen ist der "Ancillary Function Driver für WinSock" (afd.sys), ein Systemkern-Treiber, der bei Windows sämtliche Netzwerkverbindungen verwaltet. Die als CVE-2026-68820 geführte Schwachstelle ist laut Microsofts eigenem Security Update Guide ein sogenannter Use-after-free-Fehler: Ein Angreifer, der bereits lokalen Zugriff auf ein System hat, kann darüber Systemrechte erlangen - die höchste Berechtigungsstufe unter Windows. Betroffen sind laut Microsoft Windows 10 (ab Version 1607), alle aktuellen Windows-11-Versionen sowie Windows-Server-Ausgaben von 2012 bis Server 2025 - praktisch der komplette derzeit im Einsatz befindliche Windows-Bestand.
Wer hinter den Angriffen steckt
Die IT-Sicherheitsfirma Check Point Research hat die Ausnutzung der Lücke nach eigenen Angaben der nordkoreanischen Hackergruppe Lazarus zugeordnet. Die Gruppe soll die Schwachstelle im Rahmen ihrer als "Operation Dream Job" bekannten Kampagne genutzt haben, um bei Rüstungs- und Verteidigungsunternehmen ein Rootkit sowie eine Backdoor einzuschleusen und sich dauerhaften Zugriff auf die Systeme zu sichern. Diese Zuordnung stammt bislang ausschließlich von Check Point - eine offizielle Bestätigung durch Microsoft selbst liegt dazu nicht vor.
Kein Workaround, nur das Update hilft
Microsoft betont in seiner Sicherheitsmitteilung ausdrücklich, dass es für diese Lücke keine Möglichkeit gibt, sich ohne das Update zu schützen - Firewall-Regeln oder Konfigurationsänderungen reichen nicht aus. Wer die Lücke schließen will, muss das kumulative August-Update installieren: KB5121003 für Windows 11 (24H2/25H2) beziehungsweise KB5120249 für Windows 10. Auf Windows-Server-Systemen sind die jeweils passenden Server-Kumulativupdates einzuspielen. Da Angriffe bereits laufen, sollte das Update nicht auf die lange Bank geschoben werden - insbesondere Unternehmen mit vielen Endgeräten sollten die Verteilung priorisieren.
Ein besonders voller Patchday
CVE-2026-68820 ist nur eine von insgesamt 398 Schwachstellen, die Microsoft am August-Patchday behoben hat - 42 davon stuft der Hersteller als kritisch ein. Allein in Microsoft Office wurden 128 Fehler geschlossen, außerdem erhielten Exchange Server, Azure-Cloud-Dienste sowie DNS- und DHCP-Server wichtige Patches. Besondere Aufmerksamkeit verdient laut Berichten von Security Affairs zusätzlich CVE-2026-62878: eine kritische Lücke im Windows-DNS-Server mit einem CVSS-Wert von 9,8, die als potenziell wurmfähig gilt - ein einzelner infizierter Server könnte sich also selbstständig auf weitere Systeme im Netzwerk ausbreiten, ganz ohne Zutun eines Nutzers.
Einordnung: Was Sie jetzt tun sollten
Für private Windows-Nutzer gilt: Automatische Updates sollten aktiviert sein, ein manueller Blick über Einstellungen → Windows Update lohnt sich trotzdem, um zu prüfen, ob das August-Update bereits installiert wurde. In kleineren Firmen und bei IT-Verantwortlichen, die Updates zentral verteilen, sollte die Installation nicht länger aufgeschoben werden - die Kombination aus aktiver Ausnutzung durch eine bekannte Angreifergruppe und fehlendem Workaround macht diese Lücke zu einer der dringlichsten des Jahres. Server-Betreiber sollten zusätzlich die DNS-Server-Lücke wegen ihres Wurmpotenzials vorziehen.
Quellen: WinFuture, ergänzt um Microsofts Security Update Guide sowie Berichte von Security Affairs und Tenable.