2026年8月“补丁星期二”：微软修复了420多个漏洞

根据微软的《安全更新指南》以及多家跟踪此次发布的安防厂商的消息，微软2026年8月的“补丁星期二”更新已成为今年规模最大的安全更新之一，共修复了421个CVE漏洞，其中包括40多个被评为“严重”级别的漏洞。 本次更新的重点包括一个正在被积极利用的内核驱动程序漏洞、一个与长期与微软存在分歧的研究人员相关的已公开特权提升漏洞，以及Rapid7指出的SharePoint远程代码执行链。

Lazarus Group 利用内核驱动程序零日漏洞

最需紧急修复的是 CVE-2026-68820，这是一个存在于 Windows Sockets API 底层内核模式驱动程序——Windows Ancillary Function Driver for WinSock（afd.sys）中的“释放后使用”漏洞。 微软表示，经过本地身份验证的攻击者可通过精心制作的应用程序触发竞态条件，在无需用户交互的情况下获取SYSTEM权限。 Check Point Research 报告称，朝鲜的 Lazarus 组织在其“梦想工作行动”（Operation Dream Job）中利用了该漏洞，通过伪造的招聘联系和植入木马的 PDF 阅读器部署名为“Troy”的新后门，随后提升权限并安装其 FudModule 内核模式 Rootkit 的更新版本。 该活动主要针对欧洲、印度和巴西的国防、航空航天及航空组织。美国网络安全与基础设施安全局（CISA）已将 CVE-2026-68820 列入其“已知被利用漏洞”目录，并规定最迟于 8 月 25 日完成修复。

围绕LegacyHive的公开争端

微软还修复了 CVE-2026-62832，这是一个存在于 Windows 用户配置文件服务中的权限提升漏洞。 该漏洞允许持有其他本地账户凭据的经过身份验证的攻击者，强迫该服务加载该账户的注册表分支（可能是管理员账户），从而获得对该数据的未经授权访问权限以及管理员权限。 微软将该漏洞的发现归功于一位匿名研究人员，尽管其技术细节与“LegacyHive”相符——这是化名“Nightmare Eclipse”的研究人员在7月“补丁星期二”发布后仅数小时内公布的一个概念验证。由于可运行的利用代码已在公开渠道流传，微软评估认为该漏洞被广泛利用的可能性更高。

Rapid7 完善了 SharePoint 远程代码执行攻击链

本次发布还包括 CVE-2026-63520，这是一个源于 Business Connectivity Services 中不安全的 .NET 类型实例化的 SharePoint Server 远程代码执行漏洞。Rapid7 与微软同步披露了该漏洞，作为为 Pwn2Own Berlin 构建的利用链的第二部分。 结合 Rapid7 于 7 月披露的 JWT 身份验证绕过漏洞 CVE-2026-55040，这两个漏洞使未经身份验证的攻击者无需任何凭据，即可在存在漏洞的 SharePoint 服务器上以服务账户的权限执行代码。