Patch Tuesday im August 2026: 421 CVEs, die priorisiert werden sollten

Microsofts Patch Tuesday -Release vom August 2026 deckt 421 CVEs in Windows, Office, Azure, Exchange Server, SharePoint Server, Developer Tools und Microsoft Defender ab. Zwei Schwachstellen fallen auf und sollten sofort beachtet werden: eine wird nachweislich bereits aktiv ausgenutzt, die andere ist öffentlich bekannt. Zwei erneut veröffentlichte Nicht-Microsoft-CVEs, die Windows TPM betreffen, sind ebenfalls gekennzeichnet. Hier ist unsere Einschätzung dazu, worauf Sie sich zuerst konzentrieren sollten.

Microsoft-Patch-Überblick für August 2026

Wie in den meisten Monaten entfällt auch bei diesem Release der größte Anteil auf Windows: 236 Schwachstellen werden in 32 einzelnen Updates behoben. Office und Office 2016 weisen jeweils 98 Schwachstellen auf. Das spiegelt denselben zugrunde liegenden Satz von Problemen wider, der über zwei unterschiedliche Wartungsmodelle bereitgestellt wird — kumulative Updates für derzeit unterstützte Office-Versionen und einzelne Updates für Office 2016. SharePoint Server und Developer Tools vervollständigen die Liste mit den nächsthöheren Anzahlen an Sicherheitslücken: 30 bzw. 26.

Hier ist die Aufschlüsselung des Releases:

Wenn wir uns genauer ansehen, wo die Schwachstellen dieses Monats tatsächlich liegen, zeigt sich ein vertrautes Bild: zentrale Windows-Netzwerk- und Treiberkomponenten (DNS Server, DHCP Server, RRAS, SSTP, RMCAST, Telephony Service, Win32k), Komponenten zur Verarbeitung von Office-Dokumenten (Word, Excel, PowerPoint, Access und die gemeinsame Graphics Component) sowie Kollaborationsplattformen (SharePoint Server und Exchange Server). Außerdem sehen wir in diesem Monat eine nennenswerte Häufung von Fehlerbehebungen in Developer Tools und .NET, was besonders relevant ist, wenn Ihr Unternehmen interne Build- oder CI/CD-Infrastrukturen betreibt.

Da Office und Windows zusammen mehr als drei Viertel der in diesem Monat behandelten Schwachstellen ausmachen, erwarten wir, dass der Großteil des Aufwands für die Patch-Validierung eher bei Endpoint- und Produktivitäts-Workloads als bei der Serverinfrastruktur anfällt — wobei die serverseitigen Korrekturen in SharePoint, Exchange und den zentralen Windows-Netzwerkdiensten aufgrund ihrer netzwerkseitigen Ausrichtung ein überproportional hohes Risiko bergen.

Zero-Day- und Schwachstellen mit höherer Wahrscheinlichkeit einer Ausnutzung

Jeden Monat achten wir genau auf CVEs, bei denen Microsofts eigene Signale — öffentlich bekannte Details oder bestätigte Ausnutzung — darauf hindeuten, dass das reale Risiko die durch den CVSS bestimmte Schweregradbewertung übersteigt. In diesem Monat fallen zwei Schwachstellen in diese Kategorie:

Für CVE-2026-68820 ist eine aktive Ausnutzung bestätigt, und CVE-2026-62832 ist öffentlich bekannt. Das bedeutet, dass bereits technische Details verfügbar sind, die die Entwicklung von Exploits beschleunigen könnten. Beides sind Schwachstellen zur Rechteausweitung, die als Wichtig statt als Kritisch eingestuft werden – eine gute Erinnerung daran, dass wir uns bei der Einschätzung der Dringlichkeit nicht allein auf Schweregradbewertungen verlassen. Diese beiden Schwachstellen gehören diesen Monat unabhängig von ihrer CVSS-basierten Einstufung ganz nach oben in die Patch-Warteschlange.

Kritische Schwachstellen im August 2026

Unsere Prüfung dieser Veröffentlichung identifiziert 43 Schwachstellen mit der Bewertung „Kritisch“, von denen die große Mehrheit Schwachstellen zur Remotecodeausführung (RCE) sind. Mehrere betreffen netzwerkseitige Infrastruktur, die wir häufig innerhalb von oder am Rand von Unternehmensnetzwerken exponiert sehen:

Die übrigen Critical-bewerteten CVEs, die wir verfolgen, konzentrieren sich auf Microsoft Office (Word, Excel und die gemeinsam genutzte Graphics Component), wo es in diesem Monat mehr als ein Dutzend kritische RCE-Schwachstellen gibt. Da mehrere dieser Schwachstellen Dienste betreffen, die häufig unzuverlässigen Netzwerken ausgesetzt sind – insbesondere DNS, RRAS und DHCP –, würden wir die Validierung und Bereitstellung von Patches für Domain Controller, Edge-Server und Fernzugriffs-Infrastruktur als oberste Priorität behandeln.

So priorisieren Sie die Patches für August 2026

Bei 421 CVEs, die bearbeitet werden müssen, ist ein risikobasierter Ansatz unerlässlich. So würden wir empfehlen, die Veröffentlichung dieses Monats zu priorisieren.

Innerhalb von 72 Stunden patchen

• Windows DNS Server, DHCP Server, RRAS, SSTP und RMCAST — Kritische RCE-Schwachstellen in netzwerkseitigen Diensten

• Active Directory Certificate Services (AD CS) und Microsoft QUIC — kritische RCE mit Auswirkungen auf Identitäts- und Transportinfrastruktur

• CVE-2026-68820 (WinSock AFD) und CVE-2026-62832 (User Profile Service) — aktiv ausgenutzt bzw. öffentlich bekannt

• SharePoint Server und Exchange Server – kritische Schwachstellen in Kollaborationsplattformen mit internetseitigen Bereitstellungen

• Remote-Desktop-Client und iSCSI Target Service — kritische RCE mit Relevanz für Fernzugriff und Speicherinfrastruktur

Patch innerhalb von 1–2 Wochen

• Microsoft Office (Word, Excel, PowerPoint, Access) — zahlreiche kritische und wichtige RCE-Schwachstellen, die eine Benutzerinteraktion erfordern

• Entwicklertools und .NET — relevant für interne Build-, CI/CD- und Anwendungsinfrastruktur

• Windows-Kernel, Win32k, NTFS und Telephony Service — als wichtig eingestufte Schwachstellen mit großer Reichweite über Endpunkte hinweg

Regelmäßiger Patch-Zyklus

• Windows-Komponenten mit geringerer Kritikalität, die weniger häufig exponierte Dienste betreffen

• Schwachstellen, die lokalen Zugriff oder nicht standardmäßige Konfigurationen erfordern

• Systeme, bei denen bereits kompensierende Kontrollen eingerichtet sind (Netzwerksegmentierung, eingeschränkter Zugriff, EDR-Abdeckung)

Bemerkenswerte erneut veröffentlichte Nicht-Microsoft-CVEs

Beide erneut veröffentlichten CVEs betreffen Windows-TPM-Implementierungen (Trusted Platform Module) und werden unter MITRE statt unter Microsofts eigener CNA geführt. Für beide sind derzeit weder dokumentierte Workarounds noch Abhilfemaßnahmen verfügbar. Daher ist die zeitnahe Installation von Patches der wichtigste Weg zur Behebung, sobald Hersteller-Updates verfügbar sind. Wie wir jeden Monat anmerken, wenn diese auftauchen, empfehlen wir, Komponenten von Drittanbietern und firmware-nahe Komponenten wie TPM-Stacks als Teil desselben Schwachstellenmanagement-Workflows zu behandeln, den Sie für Patches auf Betriebssystemebene verwenden, statt als separaten Pfad mit geringerer Priorität.

Wie Splashtop AEM helfen kann

Bei 421 CVEs, die in diesem Monat zu prüfen sind, ist eine manuelle Risikobewertung für jeden einzelnen Endpunkt nicht realistisch. Genau diese Lücke wurde entwickelt, um Splashtop AEM (autonomes Endpunktmanagement) zu schließen:

• Risiken schnell erkennen: Erhalten Sie zentralen Einblick in Endpunkt-Schwachstellen, Patch-Status sowie Software-/Hardware-Inventar, damit Sie wissen, wo Sie exponiert sind, bevor Sie mit dem Patchen beginnen.

• Kritische Updates priorisieren: KI-gestützte CVE-Einblicke zeigen, welche Schwachstellen für Ihre Umgebung am wichtigsten sind — einschließlich Problemen mit kritischem Schweregrad und CVEs mit bestätigter oder wahrscheinlicher Ausnutzung — damit der Aufwand zuerst dort eingesetzt wird, wo das Risiko am höchsten ist.

• Schneller patchen: Automatisieren Sie Patch-Richtlinien und stellen Sie Updates für Betriebssysteme und Drittanbietersoftware in Echtzeit bereit – mit Transparenz über Erfolg und Fehler in jedem Schritt.

• Vorhandene Workflows stärken: Schnellere Behebung und bessere Transparenz ergänzen manuelles Patchen oder Microsoft Intune.

Splashtop AEM kostenlos testen

Ohne die richtigen Tools kann ein einzelner Patch Tuesday Wochen dauern, bis er vollständig behoben ist — und bis es so weit ist, ist die nächste Veröffentlichung bereits auf dem Weg. Mit Splashtop AEM können Sie:

• Erkennen Sie anfällige Endpunkte in Ihrer gesamten Umgebung

• Kritische CVEs anhand des tatsächlichen Ausnutzungsrisikos priorisieren

• Patch-Bereitstellung für Windows, Office und Drittanbieteranwendungen automatisieren

• Den Patch-Erfolg und -Fehlschlag über ein einziges Dashboard überwachen

• Sicherheit in verteilten und Remote-Umgebungen stärken