Microsoft-Patchday mit drei Zero-Days und wurmfähiger DNS-Lücke, SharePoint-Ransomware über „ToolShell“ und Ransomware trotz aktiver MFA
Die wichtigsten IT- und Sicherheitsthemen der Woche – kompakt und verständlich für kleine und mittlere Unternehmen sowie Privatanwender.
Liebe Leserinnen und Leser,
diese Woche stand im Zeichen des großen August-Patchdays von Microsoft: Über 400 Schwachstellen wurden geschlossen, darunter drei sogenannte Zero-Days und eine besonders gefährliche, „wurmfähige“ Lücke im Windows-DNS-Server. Parallel nutzen Angreifer eine Schwachstelle in Microsoft SharePoint aktiv für Ransomware aus – und eine aktuelle Studie zeigt, dass selbst Unternehmen mit Mehr-Faktor-Anmeldung erfolgreich angegriffen werden. Wir haben die drei wichtigsten Themen für Sie eingeordnet und die kompakten Quick News zusammengestellt.
Top 1: Microsoft-Patchday August – über 400 Lücken, drei Zero-Days und eine wurmfähige Schwachstelle
Am Patchday, dem 11. August 2026, hat Microsoft Sicherheitsupdates für rund 400 Schwachstellen veröffentlicht (je nach Zählung zwischen 394 und 421), davon 62 als „kritisch“ eingestuft. Darunter befinden sich drei sogenannte Zero-Days – also Lücken, die bereits öffentlich bekannt oder in Angriffen im Umlauf waren, bevor ein Update bereitstand.
Aktiv ausgenutzt wird CVE-2026-68820, eine Schwachstelle im Windows-Treiber „afd.sys“ (Windows-Sockets). Über sie erlangen Angreifer lokal höchste Systemrechte („SYSTEM“). Die nordkoreanische Lazarus-Gruppe setzt die Lücke in gezielten Angriffen ein, um ihr „FudModule“-Rootkit tief im System zu verankern. Zwei weitere Zero-Days (CVE-2026-62832 im Windows-Benutzerprofildienst und CVE-2026-72971) waren vorab öffentlich bekannt.
Besonders gefährlich ist CVE-2026-62878, eine kritische Lücke im Windows-DNS-Server (Bedrohungswert 9,8 von 10). Sie erlaubt Angreifern ohne Anmeldung und ohne Zutun des Nutzers, Schadcode auszuführen – und gilt als „wurmfähig“, könnte sich also selbstständig von System zu System ausbreiten. Server, die aus dem Internet erreichbar sind, sollten daher mit höchster Priorität aktualisiert werden.
Was bedeutet das für Sie?
- Installieren Sie die August-Updates für Windows und alle Microsoft-Produkte zeitnah – bei internet-erreichbaren Servern (vor allem DNS) sofort und vorrangig.
- Lassen Sie Ihren IT-Dienstleister prüfen, ob die automatische Update-Verteilung greift und wirklich alle Geräte – auch selten genutzte – auf dem aktuellen Stand sind.
- Behandeln Sie die aktiv ausgenutzte „afd.sys“-Lücke mit Vorrang: Hier zählt jeder Tag, da bereits echte Angriffe laufen.
Top 2: Microsoft SharePoint – „ToolShell“-Lücke wird aktiv für Ransomware ausgenutzt
Die US-Sicherheitsbehörde CISA hat eine Schwachstelle in Microsoft SharePoint (CVE-2026-45659, Bedrohungswert 8,8) als aktiv ausgenutzt eingestuft und in ihren Katalog bekannter angegriffener Lücken aufgenommen. Angreifer nutzen sie, um Ransomware auszubringen und sich anschließend seitlich im Netzwerk auszubreiten. Betroffen sind lokal betriebene SharePoint-Server, wie sie auch in manchen mittelständischen Betrieben laufen.
Die Lücke gehört zur „ToolShell“-Angriffsserie. Besonders heikel: Die Angreifer stehlen die sogenannten Maschinenschlüssel („Machine Keys“) des Servers. Damit behalten sie dauerhaften Zugang – selbst dann, wenn das offizielle Sicherheitsupdate bereits eingespielt wurde. Sicherheitsforscher berichten, dass exponierte Zugangsdaten inzwischen im Schnitt binnen rund 17 Minuten automatisiert ausgenutzt werden.
Für Betreiber heißt das: Das reine Einspielen des Patches genügt nicht. Auf möglicherweise bereits kompromittierten Servern müssen die Maschinenschlüssel rotiert und Zugangsdaten erneuert werden – sonst bleibt der einmal geöffnete Zugang bestehen.
Was bedeutet das für Sie?
- Prüfen Sie, ob Sie einen eigenen (lokalen) SharePoint-Server betreiben, und spielen Sie die aktuellen Sicherheitsupdates umgehend ein.
- Lassen Sie nach einem möglichen Angriff die Maschinenschlüssel erneuern und Zugangsdaten zurücksetzen – ein Patch allein schließt bereits bestehende Zugänge nicht.
- Machen Sie SharePoint-Server nicht frei aus dem Internet erreichbar und trennen Sie Verwaltungszugänge strikt ab.
Top 3: Ransomware trotz Mehr-Faktor-Anmeldung – warum MFA allein nicht mehr reicht
Eine aktuelle Auswertung (Sophos „State of Ransomware 2026“, Befragung von über 2.100 IT-Verantwortlichen) zeigt: 79 Prozent aller Ransomware-Angriffe beginnen mit gestohlenen Zugangsdaten. Besonders alarmierend ist ein zweiter Befund: 97 Prozent der betroffenen Unternehmen hatten eine Mehr-Faktor-Anmeldung (MFA) im Einsatz – und wurden dennoch erfolgreich angegriffen.
Der Grund liegt in der Umgehung der MFA: Angreifer nutzen zunehmend spezialisierte Phishing-Baukästen, die Anmeldedaten und Einmalcodes in Echtzeit abfangen. Deren Zahl ist laut Studie binnen eines Jahres um rund 1.380 Prozent gestiegen. Passend dazu warnen FBI und CISA aktuell vor der Ransomware-Gruppe „Gunra“, die bekannte Fortinet-VPN-Lücken ausnutzt, um MFA auszuhebeln und Firmendaten zu stehlen.
Für den deutschen Mittelstand ist das brisant: Das Bundeskriminalamt (BKA) verzeichnete zuletzt 1.041 Ransomware-Angriffe – ein Anstieg um rund 10 Prozent; der durchschnittliche Schaden eines Datenlecks liegt laut IBM bei 4,25 Millionen Euro. MFA bleibt wichtig und richtig – sie muss aber sauber umgesetzt und um weitere Schutzmaßnahmen ergänzt werden.
Was bedeutet das für Sie?
- Setzen Sie auf phishing-resistente MFA – etwa App-Bestätigung mit Nummernabgleich oder Hardware-Sicherheitsschlüssel – statt nur auf SMS- oder einfache Code-Verfahren.
- Schulen Sie Ihr Team gezielt zum Erkennen von MFA-Phishing und richten Sie einen klaren Meldeweg für verdächtige Anmelde-Aufforderungen ein.
- Ergänzen Sie MFA um weitere Bausteine: aktuelle Software, geübte Notfallpläne und regelmäßige, getrennt gelagerte Backups.
⚡ Quick News der Woche
- Cisco-Firewall erneut im Visier: In Ciscos Firewalls ASA und Firepower (FTD) wird die Zero-Day-Lücke CVE-2026-20349 seit Anfang August aktiv ausgenutzt. Notfall-Updates umgehend einspielen und Verwaltungszugänge vom Internet trennen.
- Phishing-Welle bei Banken: Die Verbraucherzentrale warnt vor gefälschten „Sicherheitswarnungen“ im Namen von DKB (mit Frist „bis 20. August“) und easybank („Unbefugter Zugriff auf Ihr Konto“). Nie über Links reagieren – Bank-App oder die bekannte Adresse selbst aufrufen.
- Fortinet FortiSandbox angegriffen: Mehrere kritische Schwachstellen (u. a. CVE-2026-25089) werden aktiv ausgenutzt. Betroffene sollten die verfügbaren Updates zeitnah installieren.
- Adobe-Patchday parallel: Auch Adobe hat am August-Patchday zahlreiche Sicherheitsupdates veröffentlicht. Wer Acrobat/Reader oder Creative-Cloud-Programme nutzt, sollte aktualisieren.
- Google Chrome erneut gepatcht: Google hat eine weitere aktiv ausgenutzte Zero-Day-Lücke in Chrome geschlossen. Browser – auch auf Android – auf die neueste Version bringen und neu starten.
💡 Fazit & Empfehlung
Diese Woche macht deutlich: Updates einspielen ist Pflicht – reicht bei aktiven Angriffen aber oft nicht aus. Achten Sie auf drei Stellschrauben:
✓ Windows und Server sofort patchen: August-Updates einspielen – bei internet-erreichbaren Diensten (vor allem DNS-Servern) mit höchster Priorität wegen der wurmfähigen Lücke.
✓ Nach Angriffen mehr tun als patchen: Bei SharePoint & Co. gestohlene Maschinenschlüssel und Zugangsdaten erneuern – ein Update allein schließt bestehende Zugänge nicht.
✓ MFA richtig aufstellen: Auf phishing-resistente Verfahren setzen, das Team schulen und um Backups sowie geübte Notfallpläne ergänzen.
Sprechen Sie uns an – wir prüfen gemeinsam, welche Ihrer Systeme betroffen sein könnten, und bringen Ihre IT auf einen sicheren Stand. Ihr Team von IT Navigator.
📚 Quellen
- BleepingComputer / SecurityWeek / Qualys: Microsoft-Patchday August 2026 – rund 400 Lücken, drei Zero-Days (CVE-2026-68820 aktiv ausgenutzt, Lazarus/FudModule)
- Security Affairs / Rapid7 / Talos: wurmfähige RCE im Windows-DNS-Server (CVE-2026-62878, Bedrohungswert 9,8)
- CISA (Known Exploited Vulnerabilities) / IT-Administrator / Greenbone: SharePoint „ToolShell“, CVE-2026-45659 aktiv für Ransomware ausgenutzt, Maschinenschlüssel-Diebstahl
- Sophos „State of Ransomware 2026“ / B2B Cyber Security: 79 % der Angriffe über gestohlene Zugangsdaten, 97 % der Opfer trotz aktiver MFA
- Verbraucherzentrale / heise online / BleepingComputer: Phishing-Welle (DKB, easybank), Cisco-ASA/FTD-Zero-Day (CVE-2026-20349), Chrome- und Adobe-Updates; BKA/IBM zur Ransomware-Lage
👉 Letzte Woche verpasst? Hier geht’s zum vorherigen Wochenrückblick: Wochenrückblick KW 32/2026.
© IT Navigator · Wochenrückblick KW 33/2026 · Stand: 17.08.2026
IT-Wochenrückblick KW 33/2026: Microsoft-Patchday mit drei Zero-Days, SharePoint-Ransomware & Ransomware trotz MFA