Ein Use-After-Free im Treiber, den jeder Windows-Socket berührt

CVE-2026-68820 sitzt in AFD.sys, dem Ancillary Function Driver für WinSock, jener Kernel-Komponente, mit der jede Windows-Anwendung in Berührung kommt, sobald sie einen Netzwerk-Socket öffnet. Microsofts Sicherheitsmeldung beschreibt einen Use-After-Free, ausgelöst durch eine Race Condition: Ein lokal authentifizierter Angreifer kann eine präparierte Anwendung ausführen, die den Treiber gleichzeitig aus mehreren Threads anspricht, ihn in einem inkonsistenten Zustand erwischt und diese Inkonsistenz zu Codeausführung im Kernel ausnutzt. Die Meldung setzt den CVSS-Basiswert auf 7,0 und das Ergebnis klar als Rechteausweitung auf SYSTEM an, die höchste Kontrollebene, die eine Windows-Maschine vergibt.

Das Wort 'lokal authentifiziert' zählt ebenso wie das Wort 'Kernel'. Diese Lücke öffnet einer Maschine keinen Zugang von außen; sie macht jemanden, der auf der Maschine bereits Code ausführt, zu ihrem Eigentümer. Das ist keine Feinheit. Es ist genau die Form der zweiten Stufe eines Einbruchs, und genau um diese Stufe herum baute dieser Akteur seine gesamte Kampagne.

Operation Dream Job: Ein falscher Personalvermittler war der Weg hinein

Die Check-Point-Forscher Moshe Marelus und David Driker ordneten die aktive Ausnutzung von CVE-2026-68820 Nordkoreas Lazarus-Gruppe zu, im Rahmen der langjährigen Köderkampagne, die die Firma als Operation Dream Job führt. Der Ansatz ist sozial, nicht technisch: gefälschte Bewerbungsansprachen, die sich als Lockheed Martin und die Datenschutz-Technologiefirma Enveil ausgeben, versandt an Mitarbeitende von Rüstungs-, Luft- und Raumfahrtorganisationen in mehreren Ländern, mit konzentrierter Aktivität gegen Ziele in Europa und Indien. Der Köder ist ein attraktives Jobangebot; der Anhang ist die erste Angriffsstufe.

Sobald ein Ziel den Köder öffnete und die angehängte Datei ausführte, hatten die Angreifer lokale Codeausführung - genau die Voraussetzung, die CVE-2026-68820 braucht. Von dort beobachtete Check Point eine neue Kernel-Modus-Variante des FudModule-Rootkits, eingesetzt zusammen mit einer zuvor unbekannten Backdoor, die die Firma Troy nannte, danach die AFD.sys-Race-Condition, um von einem gewöhnlichen Prozess zu SYSTEM aufzusteigen. Eine glaubwürdige E-Mail, ein Klick, und ein staatsnaher Akteur besitzt den Endpunkt vollständig.

Zehn Wochen zwischen erster Ausnutzung und der Behebung

Check Point erklärt, Angreifer erstmals Anfang Juni 2026 bei der Attacke auf genau diese Lücke beobachtet zu haben. Microsoft lieferte den Fix erst im Patchday-Zyklus vom 11. August, was rund zehn Wochen zwischen bestätigter Ausnutzung in freier Wildbahn und dem überhaupt erst existierenden Patch ergibt. CISA nahm CVE-2026-68820 am selben Tag, an dem der Patch erschien, in den Katalog bekannter ausgenutzter Schwachstellen auf, mit Fälligkeit zum 25. August unter der Binding Operational Directive 26-04.

Der Patch selbst kam innerhalb einer großen Monatsveröffentlichung: Microsofts eigene Zählung für den Zyklus lag bei 421 CVEs, während die unabhängige Zero Day Initiative 398 neue CVEs zählte, davon 62 als kritisch eingestuft. Unabhängig von der Zählweise war CVE-2026-68820 der einzige Eintrag, den Microsoft in diesem Monat als aktiv ausgenutzt kennzeichnete - ein bestätigter realer Angriff innerhalb eines Bündels von mehreren Hundert theoretischen.

Warum Patchday nicht das Frühwarnsystem der Rüstungsbranche sein kann

Patchday läuft nach einer festen monatlichen Uhr. Eine gezielte staatliche Kampagne läuft nach ihrem eigenen Zeitplan, und in diesem Fall gab dieser Zeitplan Lazarus rund zehn Wochen funktionierenden SYSTEM-Zugriff gegen genau die Branche mit der geringsten Toleranz dafür. Für die meisten Branchen ist ein zehnwöchiges Zeitfenster bei einer mittelschweren lokalen Lücke ein akzeptabler Preis eines monatlichen Patch-Zyklus. Für einen Rüstungszulieferer, der bereits per gefälschtem Jobangebot von einem staatlichen Nachrichtendienst gezielt ausgewählt wurde, ist genau dieses Fenster die gesamte Kampagne, von Anfang bis Ende, abgeschlossen, bevor ein Fix existierte, der sie hätte unterbrechen können.

Das Versagen lag hier nie am Patch-Tempo; Microsoft handelte, sobald die Ausnutzung bestätigt war, und der Fix kam innerhalb eines normalen Veröffentlichungszyklus. Die Lücke lag in der Erkennung während der zehn Wochen, in denen kein Patch existierte, um sie zu schließen. Das rahmt das eigentliche Problem für Sicherheitsteams in Rüstung und Luftfahrt neu: Die zu steuernde Exposition ist nicht in erster Linie ein Problem der Patch-Geschwindigkeit, sondern ein Problem der Verhaltenserkennung und des Social Engineering, und wer monatliche Patch-Konformität als Antwort auf eine gezielte Kampagne behandelt, missversteht, was diese Kampagne tatsächlich war.

Was Sicherheitsteams in Rüstung und Luftfahrt diese Woche tun sollten

Spielen Sie den August-Patch jetzt ein; dieser Schritt ist nicht optional. Doch der Patch allein adressiert nicht das zehnwöchige Fenster, das dieser Vorfall gerade demonstriert hat, daher kombinieren Sie ihn mit Erkennung, die auf die Technik abgestimmt ist statt auf die CVE-Nummer: unerwartete Rechteausweitung mit Ursprung in Socket-Verarbeitung oder Treiber-Aktivität, unsignierte oder unbekannte Kernel-Modus-Treiber außerhalb eines geplanten Änderungsfensters, und rootkit-artiges Persistenzverhalten statt eines Signaturabgleichs gegen einen bestimmten Datei-Hash, der beim nächsten Mal anders sein wird.

Zweitens: Behandeln Sie Bewerbungsansprachen als Angriffsfläche für jeden, dessen Rolle ihn zu einem plausiblen Ziel macht - Ingenieure und Programmmitarbeitende mit öffentlichen Profilen, die Rüstungs- oder Luftfahrtprogramme nennen, sowie Personalabteilungen, die per Design unaufgeforderte Ansprachen erhalten. Ein kurzer, verpflichtender Verifizierungsschritt vor dem Öffnen eines Anhangs von einem unbekannten Personalvermittler, wie glaubwürdig das Branding auch wirkt, schließt genau den Einstiegspunkt, den diese Kampagne jedes Mal nutzte.

Weiterlesen: Das RMM-Tool Ihres MSP hat eine zweite Bypass-Lücke  |  Infiltriert: Nordkoreas Hacking-Netzwerk enttarnt