Разработчики Microsoft выпустили августовские патчи, которые исправили 421 уязвимость. Среди них были три уязвимости нулевого дня, включая CVE-2026-68820, которую северокорейская группировка Lazarus уже использовала в реальных атаках.

Одним из наиболее важных исправлений этого месяца стал патч для 0-day-бага CVE-2026-68820 (7,0 балла по шкале CVSS). Проблема представляет собой use-after-free в драйвере afd.sys (Ancillary Function Driver for WinSock), который отвечает за сетевые операции в Windows.

Для эксплуатации этой уязвимости, приводящей к повышению привилегий, атакующему нужно было иметь доступ к системе, а также возможность выполнения кода. Специально подготовленное злоумышленником приложение провоцировало состояние гонки, после чего хакер мог повысить привилегии до уровня SYSTEM без участия пользователя.

Хотя в Microsoft не раскрывают подробностей об атаках на CVE-2026-68820, исследователи компании Check Point связывают эксплуатацию этого бага с северокорейской группировкой Lazarus и ее кампанией Operation Dream Job. По информации специалистов, с помощью этой уязвимости хакеры атаковали организации оборонного сектора в Европе и Индии, — они представлялись сотрудниками компаний Lockheed Martin и Enveil и завлекли жертв фальшивыми предложениями о работе.

В рамках этой кампании злоумышленники использовали поддельные сайты и SEO, а также распространяли модифицированный PDF-ридер SecurityPDF, который предназначался для выполнения малвари, встроенной в заранее подготовленные хакерами PDF-файлы. После открытия такие вредоносные PDF запускали новый бэкдор группировки под названием Troy.

Лишь после компрометации системы жертвы участники Lazarus эксплуатировали CVE-2026-68820 и развертывали на машине свежую версию руткита FudModule, работающего на уровне ядра.

Напомним, что Microsoft относит к разряду 0-day не только уязвимости, которые уже эксплуатируются в реальных атаках, но и проблемы, информация о которых была публично раскрыта до выхода официальных патчей. Два других исправленных в августе 0-day-бага как раз относились к этой категории.

Так, проблема CVE-2026-62832 затрагивала Windows User Profile Service и позволяла локальному атакующему повысить привилегии и получить доступ к данным другого пользователя. Эта уязвимость была раскрыта в июле под именем LegacyHive. Вторая проблемы, CVE-2026-72971, была обнаружена в драйвере Windows Container Isolation FS Filter Driver (unionfs.sys) и тоже приводила к повышению привилегий.

Помимо этого, специалисты Microsoft устранили четыре критические RCE-уязвимости, получившие оценку 9,8 балла по шкале CVSS, для эксплуатации которых не требовалась ни аутентификация, ни взаимодействие с пользователем. Речь идет о CVE-2026-62878 в Windows DNS Server, CVE-2026-62893 в Windows Deployment Services, CVE-2026-62815 в имплементации QUIC и CVE-2026-59124 в HPC Pack.

Эксперты Zero Day Initiative, традиционно подготовившие большой обзор вышедших патчей, обращают отдельное внимание на уязвимость CVE-2026-62911, обнаруженную в Exchange. Исследователи отметили, что эксплоит для этого бага был продемонстрирован на Pwn2Own Berlin. Уязвимость позволяла обойти аутентификацию и получить доступ к почтовым ящикам пользователей Exchange.

Наконец, августовские патчи завершили исправление цепочки уязвимостей для атак на локальные установки SharePoint. Так, в июле 2026 года разработчики исправили критическую уязвимость обхода аутентификации CVE-2026-55040, а теперь устранили вторую часть этой цепочки — RCE-уязвимость CVE-2026-63520.