Die Microsoft-Sicherheitsupdates August 2026 kommen außerplanmäßig – noch vor dem regulären Patchday: Bereits am 6. August schloss Microsoft mehr als ein Dutzend Schwachstellen quer durch Azure, Entra, SharePoint, Teams und Active Directory. Mehrere davon erreichen die höchstmögliche Risikobewertung. Für Admins heißt das: prüfen, priorisieren, patchen – bevor der offizielle Patch Tuesday am 12. August nachlegt.
Microsoft-Sicherheitsupdates August 2026: drei Lücken mit CVSS 10.0
Drei Schwachstellen tragen den Maximalwert 10 von 10. CVE-2026-63508 betrifft Planetary Computer Pro (fehlende Authentifizierung), CVE-2026-56162 die Azure SQL Database (fehlerhafte Authentifizierung) und CVE-2026-65667 Microsoft Teams (fehlende Autorisierung). Alle drei lassen sich über das Netzwerk ausnutzen und führen zu einer Rechteausweitung (Elevation of Privilege).
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Das ist kritisch, weil ein Angreifer damit aus einer normalen Berechtigung heraus deutlich mehr Kontrolle erlangt – und das ganz ohne lokalen Zugriff.
Vier weitere Lücken mit CVSS 9.9
Knapp darunter liegen vier Schwachstellen mit einem Wert von 9,9: CVE-2026-50515 (Remotecodeausführung in Azure Service Bus), CVE-2026-62830 (Rechteausweitung im Azure SRE Agent), CVE-2026-59115 (Rechteausweitung im Entra Provisioning Service) und CVE-2026-50481 (Rechteausweitung in Active Directory). Auch diese vier sind aus der Ferne angreifbar.
Besonders die AD- und Entra-Lücken verdienen Aufmerksamkeit: Wer die Identitätsschicht kontrolliert, kontrolliert am Ende das ganze Netz. Genau dort setzen Angreifer bevorzugt an, wie zuletzt die aktiv ausgenutzte Netlogon-Lücke am Domain-Controller gezeigt hat.
Apple schließt Screen-Sharing-Lücke
Am selben Tag reagierte Apple – allerdings nur mit einem einzigen Fix. CVE-2026-65400 (CVSS 7,5) erlaubt es einem Angreifer im selben Netzwerk, die Authentifizierung von Screen Sharing zu umgehen und sich ohne gültige Zugangsdaten anzumelden. Gepatcht wird die Lücke in macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 und macOS Sonoma 14.8.9.
Was Admins jetzt tun sollten
Cloud-Dienste wie Azure aktualisiert Microsoft meist serverseitig – für lokale Komponenten, Agenten und Hybrid-Anbindungen gilt das nicht automatisch. Deshalb:
- Betroffene Azure-, Entra- und AD-Komponenten identifizieren und die Updates zeitnah einspielen.
- Administrative Konten mit phishing-resistenter Mehr-Faktor-Authentifizierung absichern – ein Hardware-Security-Key nach FIDO2 ist hier der wirksamste Schutz gegen Kontoübernahmen.
- Den regulären Patch Tuesday am 12. August fest einplanen – 2026 liegt der Schnitt seit Monaten bei über 100 CVEs pro Monat.
Kurz gesagt: Die vorgezogenen Updates sind kein Grund zur Panik, aber ein klarer Handlungsauftrag. Wer Azure, Entra oder Active Directory betreibt, sollte nicht bis zum nächsten regulären Termin warten.
Quellen
- SecurityWeek: Microsoft, Apple Release Fresh Security Updates
- Apple Support: Sicherheitsinhalt (CVE-2026-65400)
- Microsoft Security Update Guide
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden