Microsoft-Patchday August 2026: 400 Lücken, drei Zero-Days — einer davon bereits aktiv ausgenutzt

Vierhundert Schwachstellen in einem Monat klingen nach einer statistischen Größe — bis man auf die drei Zero-Days schaut. Eine davon wird bereits aktiv ausgenutzt, zwei weitere waren öffentlich bekannt, bevor Microsoft sie schließen konnte. Das heißt konkret: Angreifer verfügen bereits über funktionierende Exploits, und mindestens in einem Fall laufen Angriffe gegen reale Ziele. Dieser Patchday ist kein Kandidat für das nächste Wartungsfenster in drei Wochen.

Außergewöhnliches Ausmaß: 400 Schwachstellen in einem Zyklus

Der August-Patchday 2026 verteilt sich über das gesamte Microsoft-Produktportfolio: Windows, Office, Azure, Exchange, SQL Server und weitere Komponenten erhalten Sicherheitsupdates. 400 geschlossene Lücken in einem einzigen Zyklus sind eine außerordentliche Zahl. Sie stellt Administratoren vor eine echte Priorisierungsaufgabe — denn alle 400 Patches gleichzeitig auf Priorität eins setzen geht nicht.

Die gute Nachricht: Für die meisten dieser Schwachstellen fehlt bislang öffentlich bekannter Exploit-Code. Die schlechte: Für drei ist das nicht der Fall.

Die drei Zero-Days: Was den Unterschied macht

Zero-Day bezeichnet eine Schwachstelle, die ausgenutzt wurde, bevor ein Patch verfügbar war — oder die öffentlich bekannt gemacht wurde, bevor Microsoft sie schließen konnte. Diese Kategorie ist die gefährlichste, weil die Verteidiger in der Zeitschuld stehen.

Einer der drei Zero-Days wird aktiv ausgenutzt. Das ist der Kern dieses Patchdays. Kein theoretisches Risiko, keine Proof-of-Concept-Demo in einem Labor — Angreifer setzen diese Lücke bereits gegen reale Ziele ein. Die technischen Details, also welche Komponente betroffen ist und welcher Angriffsvektor genutzt wird, werden in den Stunden nach dem Patchday durch Security-Forscher vollständig dokumentiert. Bis dahin gilt: erst patchen, dann im Detail verstehen.

Die beiden weiteren Zero-Days sind öffentlich bekannt, aber nach aktuellem Kenntnisstand noch nicht aktiv ausgenutzt. „Öffentlich bekannt“ bedeutet in diesem Kontext: Jeder, der einen Exploit bauen will, hat dieselbe Informationsgrundlage wie professionelle Angreifer-Gruppen. Die Zeitspanne bis zur aktiven Ausnutzung ist bei öffentlich bekannten Lücken erfahrungsgemäß kurz.

Die Kombination aus einer aktiv ausgenutzten und zwei öffentlich bekannten Zero-Days macht diesen Patchday ernst — das ist nicht dasselbe wie drei gemeldete, aber noch nicht öffentliche Lücken.

Priorisierung: Was zuerst gepatcht werden muss

Ohne die spezifischen Angriffsvektoren aller drei Zero-Days bereits vollständig bewerten zu können, gilt die operative Faustregel: Systeme mit direktem Internetzugang haben absoluten Vorrang. Exchange Server, VPN-Gateways, Remote-Desktop-Dienste und öffentlich erreichbare Webserver sind bevorzugte Einstiegspunkte — sie sollten als erstes versorgt werden.

Danach folgen Systeme, auf denen privilegierte Konten aktiv sind oder die eng mit der Active-Directory-Infrastruktur verbunden sind. Eine Privilegienerweiterung auf einem Administrator-Rechner ist klassischerweise Schritt zwei, nachdem ein Angreifer initialen Zugang erlangt hat.

Interne Systeme ohne direkten Außenkontakt haben in der Regel etwas mehr Zeit — aber eben nur etwas.

Was Administratoren jetzt konkret tun sollten

Erstens: Im offiziellen Microsoft Security Update Guide die drei Zero-Day-CVEs identifizieren und prüfen, welche Ihrer Systeme betroffen sind. Die Angriffsvektoren und CVSS-Werte stehen dort für jeden Eintrag.

Zweitens: Der aktiv ausgenutzte Zero-Day sollte noch heute oder spätestens morgen auf allen exponierten Systemen gepatcht sein — unabhängig vom regulären Change-Management-Rhythmus.

Drittens: Für die übrigen Schwachstellen empfiehlt sich eine strukturierte Aufteilung: Kritische Remote-Code-Execution-Lücken mit Netzwerkvektor zuerst, dann Privilegienerweiterungen, dann der Rest. Mit WSUS oder Intune lässt sich das in vielen Umgebungen gut steuern — sofern keine komplexen Abhängigkeiten bestehen.

Viertens: Monitoring in den ersten 24 Stunden nach dem Patch-Rollout. Ungewöhnliche Authentifizierungsversuche und Berechtigungsänderungen können darauf hinweisen, dass ein Angreifer eine Lücke noch vor Ihrem Update ausgenutzt hat.

Der größere Rahmen: Patch-Management als Dauerbetrieb

400 Schwachstellen in einem Monat sind kein Zeichen dafür, dass Microsoft plötzlich unsicherer geworden ist — sie spiegeln wider, wie intensiv die globale Sicherheitsforschung inzwischen arbeitet. Mehr Bug-Bounty-Programme, mehr automatisierte Analyse-Tools, mehr Forscher bedeuten mehr gemeldete und geschlossene Lücken. Das ist grundsätzlich positiv.

Es bedeutet aber auch: Patch-Management ist kein gelegentlicher Vorgang mehr. Es ist eine dauerhafte operative Aufgabe. Wer sie mit manuellen Prozessen oder sporadischen Wartungsfenstern stemmt, gerät mit jedem Patchday weiter ins Hintertreffen — und dieser Monat zeigt, wie schnell der Abstand gefährlich werden kann.

Quellen: Bleeping Computer — „Microsoft August 2026 Patch Tuesday fixes 400 flaws, 3 zero-days“ (https://www.bleepingcomputer.com/news/microsoft/microsoft-august-2026-patch-tuesday-fixes-400-flaws-3-zero-days/); Microsoft Security Response Center — Security Update Guide (https://msrc.microsoft.com/update-guide)