August 2026 Patch-Day: Alle wichtigen Fakten zum Microsoft-Sicherheitsupdate für Windows 10 und 11

Am 11. August 2026 veröffentlicht Microsoft das monatliche Patch-Day-Update für die noch voll unterstützten Versionen von Windows 10 und Windows 11. Das kumulative Update schließt rund 400 Sicherheitslücken, darunter eine aktiv ausgenutzte Zero-Day-Lücke im WinSock-Treiber (CVE-2026-68820). Gleichzeitig wird die schrittweise Erneuerung von Secure-Boot-Zertifikaten über Windows Update weiter vorangetrieben, was bei manchen Geräten einen zusätzlichen einmaligen Neustart auslösen kann. Dieser Artikel fasst die wichtigsten Fakten, betroffenen Komponenten und Handlungsempfehlungen für End-User und IT-Administratoren zusammen.

Übersicht über den August-Patch-Day 2026

Der August-Patch-Day umfasst insgesamt 421 behobene CVEs im gesamten Microsoft-Ökosystem. Davon wurden 43 Schwachstellen als kritisch eingestuft. Die Updates betreffen Windows, Office, Exchange Server und Azure-Komponenten. Neben den Sicherheitsfixes enthält das Update auch Verbesserungen im Secure-Boot-Prozess.

• Gesamtzahl behobener CVEs: 421
• Kritische CVEs: 43
• Betroffene Produkte: Windows 10, Windows 11, Office, Exchange Server, Azure-Komponenten

Aktive Zero-Day-Lücke im WinSock-Treiber (CVE-2026-68820)

Eine der dringlichsten Schwachstellen ist die Zero-Day-Lücke im Treiber afd.sys (Ancillary Function Driver for WinSock). Die Lücke, bezeichnet als CVE-2026-68820, ermöglicht es lokalen Angreifern, über eine Race-Condition Rechte bis auf das SYSTEM-Niveau auszudehnen. Sicherheitsforscher haben bestätigt, dass diese Schwachstelle bereits in der freien Wildbahn aktiv ausgenutzt wird.

• Betroffener Treiber: afd.sys (WinSock-Treiber)
• CVSS-v3-Score: 7.0 (wichtig)
• Ausnutzungsgrad: aktiv ausgenutzt, lokale Rechteausweitung bis SYSTEM

Die schnelle Installation des August-Updates ist deshalb besonders wichtig, um diesen Angriffspfad zu schließen.

Änderungen an Secure-Boot-Zertifikaten

Microsoft erweitert mit dem August-Patch-Day die automatische Bereitstellung neuer Secure-Boot-Zertifikate über Windows Update. Ziel ist es, veraltete UEFI-Zertifikate zu ersetzen und die Integrität des Boot-Vorgangs zu stärken. Auf betroffenen Systemen kann nach dem Einspielen des Zertifikats-Updates ein einmaliger zusätzlicher Neustart auftreten.

• Automatisierte Zertifikatsauslieferung wird auf mehr Geräte ausgeweitet
• Einmaliger zusätzlicher Systemneustart möglich (abhängig von Gerät und Firmware)
• Phase-weise Verteilung gewährleistet Kontinuität des Betriebs

Betroffene Windows-Versionen und Build-Nummern

Die kumulativen Updates stehen für die folgenden Windows-Versionen bereit:

• Windows 10 22H2 - KB5120249
• Windows 11 26H1 - KB5121000
• Windows 11 24H2 und 25H2 - KB5121003

Die jeweiligen Knowledge-Base-Artikel (KB-Artikel) enthalten detaillierte Informationen zu den Änderungen und können über den Microsoft Update-Katalog eingesehen werden.

So erhalten Sie das Update

Microsoft stellt das Update über drei offizielle Wege bereit:

• Windows-Update-Funktion im Betriebssystem
• Microsoft Update-Katalog (Online-Suche nach KB-Nummer)
• Windows Server Update Services (WSUS) für Unternehmensumgebungen

Wichtig: Das kumulative Update wird zusammen mit dem neuesten Servicing-Stack-Update (SSU) ausgeliefert. Nutzer, die noch ein älteres LCU-Update installiert haben, müssen zuerst das separate SSU-Update anwenden, bevor das kumulative Update installiert werden kann.

Um zu prüfen, ob das aktuelle Build bereits installiert ist, kann die Tastenkombination Windows + R verwendet werden, um den Dialog WinVer zu öffnen. Die angezeigte Versionsnummer lässt einen schnellen Abgleich mit den oben genannten Build-Nummern zu.

Tipps zur schnellen und sicheren Installation

• Starten Sie das Update sofort nach Bekanntgabe, da die Zero-Day-Lücke bereits aktiv ausgenutzt wird.
• Stellen Sie sicher, dass das neueste SSU installiert ist, bevor Sie das kumulative Update anwenden.
• Planen Sie bei Geräten, die Secure-Boot-Zertifikate erhalten, einen kurzen Wartungszeitraum für den möglichen zusätzlichen Neustart ein.
• Verwenden Sie das Tool WinVer, um Ihre aktuelle Build-Nummer zu verifizieren.

FAQ - häufige Fragen zum August-Patch-Day

Warum ist die schnelle Installation des August-Patch-Day-Updates besonders wichtig?

Mindestens eine Sicherheitslücke im Windows-Kernel (CVE-2026-68820 in afd.sys ) wird bereits aktiv von Angreifern ausgenutzt, um lokale Rechte auf SYSTEM-Ebene zu erhöhen. Eine rasche Installation schützt vor diesen gezielten Angriffen.

Warum kann mein PC nach dem August-Update zweimal neu starten?

Der zweite Neustart ist auf die schrittweise Auslieferung neuer UEFI-Zertifikate für Secure Boot zurückzuführen. Auf betroffenen Systemen wird nach Anwendung des Zertifikats-Updates ein einmaliger zusätzlicher Neustart ausgelöst.

Fazit

Der August-Patch-Day 2026 ist ein kritischer Meilenstein im fortlaufenden Sicherheits- und Wartungszyklus von Microsoft. Mit 421 behobenen CVEs, darunter 43 kritische Schwachstellen, und der aktiv ausgenutzten Zero-Day-Lücke im WinSock-Treiber (CVE-2026-68820) ist das Update für alle Nutzer von Windows 10 und Windows 11 unverzichtbar. Gleichzeitig stärkt die erweiterte Secure-Boot-Zertifikats-Rollout die Plattform-Sicherheit, auch wenn ein einmaliger zusätzlicher Neustart erforderlich sein kann. Durch die Nutzung von Windows Update, dem Microsoft Update-Katalog oder WSUS, das Vorhandensein des neuesten SSU-Updates und das Prüfen der Build-Nummer können Administratoren und End-User sicherstellen, dass ihr System zeitnah geschützt ist.