Patch Tuesday i augusti 2026: Microsoft åtgärdar över 420 säkerhetsbrister

Microsofts Patch Tuesday i augusti 2026 har blivit en av årets största säkerhetsuppdateringar och åtgärdar 421 CVE:er, däribland mer än 40 som klassats som kritiska, enligt Microsofts Security Update Guide och flera säkerhetsleverantörer som följer lanseringen. Uppdateringen domineras av en aktivt utnyttjad sårbarhet i en kärndrivrutin, en offentligt avslöjad bugg för behörighetsutvidgning kopplad till en forskare som länge stått i konflikt med Microsoft, samt en kedja för fjärrkörning av kod i SharePoint som flaggats av Rapid7.

Lazarus Group utnyttjar en zero-day-sårbarhet i kärndrivrutinen

Den mest brådskande korrigeringen gäller CVE-2026-68820, en sårbarhet av typen ”use-after-free” i Windows Ancillary Function Driver for WinSock (afd.sys), den kärnlägesdrivrutin som ligger till grund för Windows Sockets API. Microsoft uppger att en lokalt autentiserad angripare kan utlösa en race condition genom en specialkonstruerad applikation för att erhålla SYSTEM-behörigheter utan användarinteraktion. Check Point Research rapporterade att Nordkoreas Lazarus Group utnyttjade sårbarheten som en del av sin kampanj ”Operation Dream Job”, där de använde falska rekryteringsförsök och en trojaniserad PDF-läsare för att distribuera Troy, en ny bakdörr, innan de eskalerade behörigheterna och installerade en uppdaterad version av sitt FudModule-rootkit i kärnläget. Aktiviteten har riktats mot organisationer inom försvar, rymd- och flygindustrin i Europa, Indien och Brasilien. CISA har lagt till CVE-2026-68820 i sin katalog över kända utnyttjade sårbarheter, med en tidsfrist för åtgärd den 25 augusti.

En offentlig fejd om LegacyHive

Microsoft har även åtgärdat CVE-2026-62832, en sårbarhet som möjliggör utökning av behörigheter i Windows User Profile Service. Säkerhetsbristen gör det möjligt för en autentiserad angripare som har inloggningsuppgifter för ett annat lokalt konto att tvinga tjänsten att ladda det kontots registerhive – eventuellt en administratörs – vilket ger obehörig åtkomst till dessa data och administratörsrättigheter. Microsoft tillskrev upptäckten till en anonym forskare, även om de tekniska detaljerna stämmer överens med LegacyHive, ett proof of concept som den pseudonyma forskaren Nightmare Eclipse publicerade bara några timmar efter juli månads Patch Tuesday. Eftersom fungerande exploateringskod redan hade spridits offentligt bedömde Microsoft att det var mer sannolikt att sårbarheten skulle utnyttjas i större utsträckning.

Rapid7 kompletterar en RCE-kedja för SharePoint

Utsläppet avrundas av CVE-2026-63520, en sårbarhet för fjärrkörning av kod i SharePoint Server som har sin grund i osäker instansiering av .NET-typer inom Business Connectivity Services. Rapid7 avslöjade den tillsammans med Microsoft som den andra delen av en exploateringskedja som skapats för Pwn2Own Berlin. Tillsammans med CVE-2026-55040, den JWT-autentiseringsomgång som Rapid7 avslöjade i juli, gör de två sårbarheterna det möjligt för en oautentiserad angripare att köra kod på en sårbar SharePoint-server med samma behörigheter som dess tjänstekonto utan några inloggningsuppgifter.