CVE-2026-68820: Microsoft-Fehler im WinSock-Treiber wird aktiv ausgenutzt

Kurzfassung

CVE-2026-68820 ist eine Schwachstelle im Microsoft Windows Ancillary Function Driver for WinSock. Der Fehler erlaubt einem bereits authentifizierten Angreifer, lokal höhere Rechte zu erlangen. CISA führt die Lücke als aktiv ausgenutzt.

Für Unternehmen mit Windows-Clients und -Servern ist das kein theoretisches Thema. Wer betroffene Systeme nicht zeitnah absichert, öffnet Angreifern einen sauberen Weg von einem normalen Konto zu mehr Kontrolle über den Host.

Was ist passiert?

Betroffen ist ein Windows-Baustein, der mit WinSock zusammenhängt. In dem Treiber steckt ein Use-after-Free-Fehler. Solche Fehler entstehen, wenn ein Objekt weiterverwendet wird, obwohl es bereits freigegeben wurde.

Im konkreten Fall kann ein lokaler, autorisierter Angreifer daraus eine Rechteausweitung bauen. Das heißt: kein Fernangriff über das Internet, aber ein klarer Hebel, sobald jemand schon auf dem System ist oder sich dort einen Fuß in die Tür gesetzt hat.

Technische Details

Die Schwachstelle trägt die Kennung CVE-2026-68820. Die Quelle ordnet sie dem Microsoft Windows Ancillary Function Driver for WinSock zu. Eine CVSS-Bewertung nennt der vorliegende Auszug nicht.

Wichtig ist der Status in CISA KEV: aktiv ausgenutzt. Das ist für die Priorisierung meist aussagekräftiger als jede abstrakte Risikoklasse. Wer solche Einträge ignoriert, spielt mit der Annahme, dass lokale Angriffe im eigenen Netz schon nicht passieren. Genau das passiert in der Praxis aber oft genug.

Wer ist betroffen?

Betroffen sind Windows-Umgebungen, in denen der genannte Treiber vorhanden und verwundbar ist. Ob alle aktuellen Windows-Versionen oder nur bestimmte Builds betroffen sind, geht aus dem Auszug nicht hervor. Auch zur Frage, ob Server und Clients gleichermaßen betroffen sind, bleibt die Quelle offen.

Für Unternehmen im DACH-Raum ist das vor allem dann relevant, wenn Admins mit privilegierten Benutzerkonten, Jump-Hosts oder lateral beweglichen Angreifern rechnen müssen. Ein lokaler Privilege-Escalation-Fehler ist selten der erste Schritt. Er ist oft der zweite oder dritte.

Empfohlene Maßnahmen

Wer Windows im Betrieb hat, sollte die betroffenen Systeme sofort gegen die Herstellerhinweise prüfen und den Fix oder die vorgesehenen Mitigations einspielen. Wenn Microsoft oder CISA eine Priorisierung nach Risiko vorgeben, gehört diese Lücke nach oben auf die Liste.

Praktisch heißt das für Admins:

Patchstand der Windows-Hosts prüfen, besonders bei Systemen mit Internetkontakt oder administrativen Rollen.
Betroffene Assets nach Exposition bewerten und nicht pauschal nach Wartungsfenstern behandeln.
Mitigations nach Herstelleranweisung umsetzen, falls ein Patch noch nicht verfügbar oder nicht sofort einspielbar ist.
Wenn für Cloud-Dienste keine Mitigation greift, die Vorgaben aus BOD 26-04 beachten oder den Dienst vorübergehend aus dem Verkehr nehmen.
Forensik- und Triage-Anforderungen von CISA mitdenken, falls es bereits Hinweise auf Kompromittierung gibt.

Wer Verdacht auf Ausnutzung hat, sollte nicht erst nach dem nächsten Patchday prüfen. Erst sichern, dann analysieren.

Einschätzung von CyberSecurity-News.de

Die Lage ist klar genug, um sie ernst zu nehmen. Eine aktiv ausgenutzte Windows-Schwachstelle für lokale Rechteausweitung gehört in jede saubere Patch-Priorisierung. Dass die Quelle keine CVSS-Zahl liefert, ändert daran wenig.

Störend ist die dünne Informationslage bei den betroffenen Versionen. Genau das erschwert den Alltag in vielen IT-Abteilungen, weil ohne saubere Versionsabgrenzung erst getestet, dann breit ausgerollt werden muss. Trotzdem gilt: KEV-Einträge sind kein Hintergrundrauschen. Sie zeigen, dass Angreifer schon dran sind.

Fazit

CVE-2026-68820 ist kein Massenproblem für Heimanwender, sondern ein klassischer Unternehmensfall mit echter Priorität. Der lokale Angriffsweg macht die Lücke besonders interessant für Post-Exploitation-Szenarien und interne Angriffe.

Wer Windows produktiv betreibt, sollte jetzt prüfen, ob die eigenen Systeme betroffen sind, und die Hersteller- sowie CISA-Vorgaben ohne Verzögerung umsetzen.