CVE-2026-68820 WinSock Zero-Day: Lazarus nutzt Rootkit

Der CVE-2026-68820 WinSock zero-day wurde bereits von der nordkoreanischen Lazarus-Gruppe genutzt, um ein Kernel-Mode-Rootkit zu platzieren – Wochen bevor Microsoft im August-Patchday 2026 einen Fix veröffentlichte. Jeder Windows-Endpunkt, der Netzwerk-Sockets verarbeitet – also praktisch jede Windows-Maschine im Netzwerk – war bis zur Installation dieses Updates exponiert.

Was ist passiert

Microsofts August-Patchday 2026 schloss 398 CVEs (manche Drittanbieter-Tracker nennen 421 aufgrund abweichender CNA-Zählmethodik – der Unterschied ist eine Zählkonvention, kein faktischer Widerspruch). Der schwerwiegendste Eintrag ist CVE-2026-68820, eine Use-after-free-Schwachstelle im Ancillary Function Driver für WinSock (afd.sys), der Kernel-Mode-Komponente, die nahezu allen Windows-Sockets-API-Operationen zugrunde liegt. Ein lokal authentifizierter Angreifer, der die Schwachstelle auslöst, kann seine Rechte auf SYSTEM-Ebene erweitern und damit nahezu vollständige Kontrolle über den Endpunkt erlangen.

Check Point meldete den CVE-2026-68820 WinSock zero-day kurz vor Veröffentlichung des Patches verantwortungsvoll an Microsoft und bestätigte, dass die Lazarus-Gruppe die Lücke bereits aktiv ausnutzte, um FudModule – ihr charakteristisches Kernel-Mode-Rootkit – zu installieren. Die Aktivität ist Teil einer neuen Welle von „Operation Dream Job“, einer langjährigen Lazarus-Spionagekampagne, die mit gefälschten Stellenangeboten Beschäftigte in der Verteidigungs- und Luft- und Raumfahrtbranche ködert; bestätigte Aktivität liegt aus Europa, Indien und Brasilien vor. Es ist die vierte seit 2022 aktiv ausgenutzte afd.sys-Zero-Day-Schwachstelle nach CVE-2025-32709, CVE-2025-21418 und CVE-2024-38193 – letztere ebenfalls Lazarus zugeschrieben.

Dasselbe Release schließt zwei weitere bemerkenswerte Lücken: CVE-2026-62815 (CVSS 9,8), eine unauthentifizierte Remote-Code-Execution-Schwachstelle in Microsoft QUIC, die durch ein einzelnes präpariertes Netzwerkpaket ohne Nutzerinteraktion ausgelöst wird, sowie CVE-2026-63520, eine SharePoint-RCE, die in Kombination mit einer bereits gepatchten Lücke unauthentifiziert ausnutzbar wird – der fünfte SharePoint-Schwachpunkt, den DIESEC seit Anfang Juli verfolgt. Eine Windows-Kernel-Rechteausweitung, CVE-2026-62737, wurde mit funktionierendem Crash-Proof-of-Concept öffentlich bekannt, bevor Microsofts Patch verfügbar war.

Warum das wichtig ist

Afd.sys liegt praktisch jedem netzwerkfähigen Windows-Prozess zugrunde – ein funktionierender Exploit dafür ist unabhängig davon wertvoll, was sonst auf dem Rechner läuft, und Lazarus hat diesen Wert nun zum vierten Mal in vier Jahren demonstriert. Für DACH-Fertigungsbetriebe sowie Zulieferer der Verteidigungs- und Luft- und Raumfahrtindustrie ist „Operation Dream Job“ kein generisches Phishing-Risiko: Es handelt sich um eine gezielte Kampagne mit gefälschten Recruiting-Ansprachen an Beschäftigte mit technischem Zugriff, die in Kernel-Level-Rootkit-Persistenz mündet – ein Muster, das die meisten Endpoint-Tools im Nachhinein nicht erkennen.

Was Sie jetzt tun sollten

1. Das kumulative Update vom August 2026 umgehend auf allen Windows 10-, 11- und Windows-Server-Systemen einspielen – für CVE-2026-68820 liegt bestätigte staatlich unterstützte Ausnutzung vor, kein theoretisches Risiko.
2. Prüfen, ob die eigene Endpoint-Detection-Lösung Kernel-Mode-Rootkits erkennen kann (FudModule nutzt BYOVD-ähnliche Techniken); bei rein signaturbasiertem Virenschutz besteht hier eine separat zu schließende Erkennungslücke.
3. Falls kein sofortiges Patch-Fenster möglich ist: lokale Anmelderechte auf exponierten Endpunkten einschränken, da CVE-2026-68820 eine lokale Authentifizierung voraussetzt – weniger lokale Anmeldeberechtigte bedeutet eine kleinere angreifbare Population.
4. Personal in Recruiting und technischen Fachabteilungen für das „Operation Dream Job“-Muster sensibilisieren (gefälschte Recruiter-Kontakte, die zu bösartigen Anhängen oder Links führen) – dies ist auch ein Social-Engineering-Einstiegspunkt, nicht nur ein technischer.

DIESEC Einschätzung

Das Muster hier lautet nicht „Microsoft hatte einen schlechten Patch-Monat“ – es ist die vierte bestätigte Ausnutzung derselben Treiberklasse durch dieselbe Akteursgruppe innerhalb von vier Jahren. Das ist ein klares Signal, dass afd.sys-Kernel-Komponenten im Bedrohungsmodell eines DACH-Unternehmens einen eigenen Platz verdienen – unabhängig davon, was der jeweilige Patch-Tuesday sonst noch enthält.

Nicht sicher, ob Ihre Endpoint-Flotte über Kernel-Level-Rootkit-Erkennung verfügt oder sich allein auf den Patch-Zyklus verlässt? Kontaktieren Sie DIESEC für eine schnelle Endpoint-Expositions- und Erkennungslücken-Prüfung.

Quellen: SecurityWeek | The Hacker News
Veröffentlicht: 2026-08-13 | Kategorie: Tägliche News | ~4 Min. Lesezeit