Patch Tuesday in augustus 2026: Microsoft verhelpt meer dan 420 kwetsbaarheden

De Patch Tuesday van Microsoft van augustus 2026 is uitgekomen als een van de grootste beveiligingsupdates van het jaar, waarbij 421 CVE’s zijn verholpen, waaronder meer dan 40 die als kritiek zijn beoordeeld, volgens de Security Update Guide van Microsoft en diverse beveiligingsleveranciers die de release volgen. De update wordt gekenmerkt door een actief misbruikte kwetsbaarheid in een kernelstuurprogramma, een openbaar gemaakte bug voor het verlenen van verhoogde rechten die verband houdt met een onderzoeker die al geruime tijd op gespannen voet staat met Microsoft, en een keten voor het uitvoeren van externe code in SharePoint die door Rapid7 is gesignaleerd.

Lazarus Group maakt misbruik van zero-day in kernelstuurprogramma

De meest urgente oplossing betreft CVE-2026-68820, een ‘use-after-free’-kwetsbaarheid in de Windows Ancillary Function Driver voor WinSock (afd.sys), het kernelmodus-stuurprogramma dat ten grondslag ligt aan de Windows Sockets API. Microsoft stelt dat een lokaal geauthenticeerde aanvaller via een speciaal vervaardigde applicatie een race condition kan veroorzaken om zonder tussenkomst van de gebruiker SYSTEM-privileges te verkrijgen. Check Point Research meldde dat de Noord-Koreaanse Lazarus-groep misbruik maakte van het beveiligingslek als onderdeel van haar „Operation Dream Job“-campagne, waarbij gebruik werd gemaakt van valse wervingsberichten en een met een trojan geïnfecteerde PDF-viewer om „Troy“, een nieuwe achterdeur, te installeren, alvorens rechten te escaleren en een bijgewerkte versie van haar „FudModule“-kernelmodus-rootkit te installeren. De activiteiten waren gericht op organisaties in de defensie-, ruimtevaart- en luchtvaartsector in Europa, India en Brazilië. CISA heeft CVE-2026-68820 toegevoegd aan zijn catalogus van bekende misbruikte kwetsbaarheden, met een deadline voor het verhelpen van het probleem op 25 augustus.

Een openbare ruzie over LegacyHive

Microsoft heeft tevens een patch uitgebracht voor CVE-2026-62832, een kwetsbaarheid in de Windows User Profile Service waarmee rechten kunnen worden verhoogd. Door deze fout kan een geauthenticeerde aanvaller die over inloggegevens voor een ander lokaal account beschikt, de service dwingen de registry-hive van dat account te laden – mogelijk die van een beheerder – waardoor hij ongeoorloofde toegang tot die gegevens en beheerdersrechten verkrijgt. Microsoft schreef de ontdekking toe aan een anonieme onderzoeker, hoewel de technische details overeenkomen met LegacyHive, een proof-of-concept die de onder het pseudoniem Nightmare Eclipse opererende onderzoeker slechts enkele uren na de Patch Tuesday van juli publiceerde. Aangezien er al werkende exploitcode openbaar was verspreid, beoordeelde Microsoft het risico dat het beveiligingslek op grotere schaal zou worden misbruikt als hoger.

Rapid7 voltooit een SharePoint RCE-keten

De release wordt afgerond met CVE-2026-63520, een kwetsbaarheid voor het op afstand uitvoeren van code in SharePoint Server die voortkomt uit onveilige .NET-type-instantiatie binnen Business Connectivity Services. Rapid7 maakte deze kwetsbaarheid samen met Microsoft bekend als het tweede deel van een exploitketen die was ontwikkeld voor Pwn2Own Berlin. In combinatie met CVE-2026-55040, de omzeiling van JWT-authenticatie die Rapid7 in juli bekendmaakte, stellen deze twee kwetsbaarheden een niet-geauthenticeerde aanvaller in staat om code uit te voeren op een kwetsbare SharePoint-server met de rechten van het serviceaccount, zonder dat daarvoor inloggegevens nodig zijn.