Ein Zero-Day ist eine Softwarelücke, die Angreifer bereits ausnutzen, bevor der Hersteller einen Fix veröffentlicht hat. Der Name beschreibt die Lage der Verteidiger: Wenn der Angriff beginnt, hatte der Hersteller null Tage Zeit, seine Kunden zu schützen. Der August 2026 hat deutlich gezeigt, wie solche Angriffe ablaufen – mit einer Windows-Lücke, die eine staatlich unterstützte Gruppe ausnutzte, und einem Druckverwaltungsserver, der im selben Monat von nicht authentifizierten Angreifern gekapert wurde.
Dieser Artikel erklärt, was passiert ist, wer betroffen war und welche praktischen Schritte Ihre Angriffsfläche für den nächsten Zero-Day verkleinern – denjenigen, den niemand vorab patchen kann.
Was im August passiert ist
Windows: CVE-2026-68820, ausgenutzt von der Lazarus-Gruppe
Am 11. August behob Microsofts monatliches Sicherheitsupdate rund 400 Schwachstellen. Eine davon, CVE-2026-68820, wurde bereits ausgenutzt. Es handelt sich um einen Use-after-free-Fehler in afd.sys, dem Windows-Treiber hinter dem WinSock-Netzwerkstapel. Ein Angreifer, der bereits auf einem Rechner Fuß gefasst hat – selbst mit einem Konto mit geringen Rechten –, kann damit volle SYSTEM-Rechte erlangen.
Forschende von Check Point, die die Lücke gemeldet hatten, brachten ihre Ausnutzung mit Lazarus in Verbindung, der staatlich unterstützten nordkoreanischen Gruppe. Lazarus installierte damit eine neue Version von FudModule, ihrem Rootkit auf Kernel-Ebene, das Sicherheitswerkzeuge tief im Betriebssystem abschalten soll. Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) nahm die Lücke noch am selben Tag in ihren Katalog bekannter ausgenutzter Schwachstellen auf und gab US-Bundesbehörden bis zum 25. August Zeit zum Patchen.
Dasselbe Update behob zwei weitere Lücken, deren Details veröffentlicht worden waren, bevor ein Fix existierte: CVE-2026-62832 im Windows-Benutzerprofildienst, mit der ein lokaler Benutzer Administratorrechte erlangen kann, und CVE-2026-72971 in einem Windows-Filtertreiber für Container. Bei keiner wurde eine Ausnutzung bestätigt, doch öffentliche Details verkürzen die Zeit, bis Angreifer sie nutzen.
PaperCut: Übernahme von Druckservern ohne Anmeldung
Am 27. August warnte PaperCut, dass Angreifer eine bis dahin unbekannte Lücke in PaperCut NG und MF ausnutzten, einer Druckverwaltungssoftware, die in Schulen, Universitäten, Behörden und Unternehmen weit verbreitet ist. Die Schwachstelle, später als CVE-2026-81578 und CVE-2026-82078 geführt, erlaubte es einem Angreifer ohne Anmeldung, die Serverkonfiguration zu ändern und anschließend eigenen Code auszuführen.
Das Sicherheitsunternehmen Huntress bestätigte Angriffe in zwei Kundenumgebungen. In einem Fall dauerte der gesamte Einbruch weniger als zwei Minuten: Der Angreifer führte Erkundungsbefehle aus, um den Server zu analysieren, platzierte eine kleine Java-Nutzlast, sammelte die gefundenen Daten und löschte dann seine eigenen Dateien und das Anwendungsprotokoll, um seine Spuren zu verwischen. Huntress stellte außerdem fest, dass etwa 47 % der rund 2.500 überwachten PaperCut-Installationen Version 23 oder älter nutzten, für die zunächst kein Fix verfügbar war.
PaperCut veröffentlichte umgehend Notfall-Builds für die Versionen 25 und 26 und erweiterte die Fixes am folgenden Tag auf Version 24.
Warum Zero-Days jede Organisation betreffen
Man könnte meinen, Zero-Days beträfen nur Regierungen und Großunternehmen. Der August hat das Gegenteil gezeigt:
- Die Ziele waren Alltagssoftware. Windows und ein Druckserver finden sich in fast jedem Büro. Angreifer gehen dorthin, wo die Verbreitung groß ist.
- Offen erreichbare Verwaltungsoberflächen sind die Eingangstür. Die PaperCut-Angriffe funktionierten nur bei Servern, deren Weboberfläche aus dem Internet erreichbar war. Viele Organisationen ahnen nicht, wie viele Admin-Oberflächen sie öffentlich zugänglich machen.
- Rechteausweitung macht aus einem kleinen Einbruch einen großen. Die Windows-Lücke setzt einen ersten Zugang voraus, der meist über eine Phishing-E-Mail oder ein gestohlenes Passwort entsteht. Ist der Angreifer drin, verwandelt der Zero-Day ein eingeschränktes Konto in vollständige Kontrolle.
- Angreifer räumen hinter sich auf. Gelöschte Protokolle bedeuten, dass ein Opfer ohne unabhängige Überwachung vielleicht nie erfährt, was gestohlen wurde.
So schützen Sie sich vor dem nächsten
Per Definition lässt sich ein Zero-Day nicht patchen, bevor es einen Fix gibt. Sie können aber die Zahl der Einfallstore verringern, die Folgen eines erfolgreichen Angriffs begrenzen und die Zeit zwischen Erscheinen und Installation eines Fixes verkürzen.
1. Patchen Sie schnell, sobald ein Fix erscheint
Die meisten realen Schäden entstehen in den Tagen und Wochen nach Erscheinen eines Fixes, wenn Angreifer den Patch per Reverse Engineering analysieren. Aktivieren Sie automatische Updates für Windows, Browser und Smartphones. Für Server und Geschäftsanwendungen setzen Sie sich ein Ziel: kritische Fixes für aus dem Internet erreichbare Systeme innerhalb von 48 Stunden, alles andere innerhalb von 14 Tagen. Abonnieren Sie die Sicherheitshinweise Ihrer wichtigsten Hersteller und die CISA-Liste bekannter ausgenutzter Schwachstellen.
2. Nehmen Sie Admin-Oberflächen aus dem Internet
Druckserver, Fernzugriffswerkzeuge, Firewalls, Router, Videoüberwachung und Website-Control-Panels sollten aus dem Internet nicht erreichbar sein. Stellen Sie sie hinter ein VPN oder beschränken Sie den Zugriff auf bekannte IP-Adressen. Allein dieser Schritt hätte die PaperCut-Angriffe vollständig verhindert.
3. Wissen Sie, was Sie betreiben
Führen Sie eine aktuelle Liste Ihrer Systeme und Softwareversionen – einschließlich derer, an die niemand denkt, etwa Druckverwaltung, Gebäudetechnik und alte Server. Was Sie nicht kennen, können Sie nicht patchen.
4. Entziehen Sie lokale Administratorrechte
Alltagskonten sollten keine Administratoren sein. Zusammen mit Multi-Faktor-Authentifizierung für E-Mail und Fernzugriff erschwert das den ersten Zugang erheblich, auf den Zero-Days zur Rechteausweitung angewiesen sind.
5. Erkennen, nicht nur verhindern
Setzen Sie Endpoint Detection and Response (EDR) auf Laptops und Servern ein und senden Sie Protokolle an ein separates System, das der Angreifer nicht ohne Weiteres löschen kann. Achten Sie auf die Warnsignale aus dem August: Serversoftware, die Kommandozeilen startet, unerwartete Dateien in Anwendungsordnern und plötzlich fehlende Protokolle.
6. Planen Sie für den Ernstfall
Halten Sie Offline- oder unveränderliche Backups bereit und testen Sie, ob Sie sie wiederherstellen können. Legen Sie fest, wen Sie anrufen und wie Sie Systeme isolieren, bevor Sie es brauchen. Ein kurzer, geübter Notfallplan ist mehr wert als ein langer, ungetesteter.
Wenn Sie glauben, betroffen zu sein
Wenn Sie PaperCut NG oder MF betreiben und die Weboberfläche im August aus dem Internet erreichbar war, aktualisieren Sie nicht einfach und machen weiter. Sichern Sie zuerst die Protokolle und die Konfiguration des Servers und suchen Sie dann nach unerwarteten .class-Dateien im lib-Ordner des Servers sowie nach fehlenden oder gekürzten Protokolldateien. Ein Update oder Neustart kann Beweise vernichten, die Sie brauchen, um zu verstehen, was passiert ist.
Prüfen Sie bei Windows, ob die August-Updates auf allen Rechnern installiert sind – nicht nur auf den meisten. Ein einziger ungepatchter Server genügt.
Unser Incident-Response-Team hilft Ihnen, nach Anzeichen einer Kompromittierung zu suchen, Beweise ordnungsgemäß zu sichern und die Lücken zu schließen. Kontaktieren Sie uns oder rufen Sie jederzeit +44 7520 644325 an.
Quellen
- BleepingComputer: Microsofts Patch Tuesday im August 2026 behebt 400 Lücken, darunter 3 Zero-Days (Englisch)
- Help Net Security: Microsoft patcht über 400 Schwachstellen, ein Zero-Day wird angegriffen (Englisch)
- Huntress: PaperCut-Zero-Day, aktive Ausnutzung und Codeausführung ohne Anmeldung (Englisch)