CISA hat CVSS als alleinigen Maßstab für Patchfristen abgeschafft. Vier Fragen entscheiden jetzt über die Dringlichkeit, nicht eine Zahl von null bis zehn. Drei Lücken aus August und September machen das Problem greifbar: eine mit CVSS 7,0, die bereits in echten Angriffen läuft, eine mit CVSS 9,8, die nur drei Tage Reaktionszeit lässt, und eine mit CVSS 10,0, bei der es gar nichts zu installieren gibt.

Die Windows-Lücke ist ein Use-after-free-Fehler (CWE-416) in AFD.sys, dem Treiber, der zwischen Winsock-API und TCP/IP-Kernel vermittelt. Eine Race Condition erlaubt einem lokal angemeldeten Angreifer den Sprung auf SYSTEM-Rechte. CISA nahm die Lücke am 11. August 2026 in den Known Exploited Vulnerabilities-Katalog auf. Microsoft schloss am selben Patchday drei separate Schwachstellen in AFD.sys – neben CVE-2026-68820 auch CVE-2026-61348 und CVE-2026-70307. Nur die erste trägt den Status „Exploitation Detected", wie der Patch-Management-Anbieter Fortra in seiner Auswertung feststellte. Die vollständige technische Einordnung findet sich hier.

Die F5-Lücke ist ein Heap-Overflow (CWE-122) im BIG-IP Access Policy Manager, ausnutzbar ohne jegliche Authentifizierung. Betroffen sind nur virtuelle Server, die eine APM-Zugriffspolicy mit einem OAuth-Profil kombinieren und dabei als OAuth Authorization Server konfiguriert sind. F5 veröffentlichte am 22. September 2026 branchenspezifische Hotfixes für die Versionen 21.1.0, 17.5.0 bis 17.5.1 und 17.1.0 bis 17.1.3. CISA setzte per Binding Operational Directive 26-04 die Frist auf den 25. September und verlangt zusätzlich eine forensische Triagierung. Die Details zur betroffenen Konfiguration stehen hier.

Die Entra-ID-Lücke ist eine Deserialisierungs-Schwachstelle (CWE-502) mit CVSS 10,0 – netzwerkseitig erreichbar, keine Rechte, keine Benutzerinteraktion. Microsoft hat die Behebung serverseitig vor Veröffentlichung abgeschlossen. Am 20. August stand im Advisory „Exploited: Yes", am 21. August wurde das auf „No" korrigiert. Für den Admin heißt das: kein Patch, kein Scan, keine Versionsnummer – nur die Aussage des Anbieters, die einen Tag lang falsch war. Die Einordnung aus der NIS2-Perspektive findet sich hier.

Was jetzt zu tun ist

1. Betroffenheit prüfen. Bei Windows: ob AFD.sys den August-Patch trägt – alle unterstützten Versionen von Windows 10 und 11, auch LTSC-Builds. Bei F5: ob virtuelle Server eine APM-Zugriffspolicy mit OAuth-Profil kombinieren und als Authorization Server konfiguriert sind. Bei Entra ID: ob Sign-in-Logs aus der relevanten Zeitperiode noch verfügbar sind, je nach Lizenz 7 oder 30 Tage.
2. Patch oder Hotfix validieren und ausrollen. Bei F5: erst die interimistische iRule-Maßnahme auf den betroffenen virtuellen Server anwenden, dann den branchenspezifischen Hotfix installieren. Bei Windows: der reguläre Patch-Zyklus genügt, solange der August-Patch eingespielt ist. Bei Entra ID: Break-Glass-Konten prüfen, Hybrid-Sync-Konto auf Tier-0-Ebene absichern, Sign-in-Logs für die Zeitspanne 20. bis 21. August sichten.
3. Einschätzung im Risikoregister dokumentieren. Datum, CVE-Nummer, Score, eigene Prüfung, Ergebnis. „Wir haben geprüft und nichts zu tun gehabt" ist eine vertretbare Entscheidung. „Wir haben nichts gewusst" ist das nicht. NIS2 verlangt genau diesen Nachweis.

Das Ärgerliche an der ganzen Sache: Man merkt den Fehler in der Patch-Reihenfolge erst, wenn die Lücke, die man auf Platz vierzig einsortiert hat, drei Monate später in einer Ransomware-Ermittlung auftaucht. Wer jetzt unsicher ist, ob die eigene Priorisierung wirklich zur Bedrohungslage passt, hat damit schon die richtige Frage gestellt. Wir schauen uns das gern einmal an – Ihre Patch-Prioritäten, Ihre betroffenen Systeme, Ihre Dokumentation – und sagen Ihnen, wo die Lücken sind. Hier geht es zum Kontakt.

Beitragsbild: panumas nikhomkhai auf Pexels