De omvang van de augustus 2026 patchbatch

Microsoft dichtte tussen de 398 en 421 kwetsbaarheden in Windows, Office, Azure, Exchange, SharePoint en andere producten . De CVE-aantallen verschillen per bron:

• SANS ISC: 418 CVEs, 62 kritiek
• Tenable: 398 CVEs, 42 kritiek
• CrowdStrike: 415 CVEs, 62 kritiek
• Splashtop: 421 CVEs
• BleepingComputer: ~400 fouten, 3 zero-days

Alle grote bronnen zijn het erover eens dat het totaal op 'ruwweg 400' kwetsbaarheden ligt .

De actief misbruikte zero-day: CVE-2026-68820

De enige zero-day waarvan Microsoft bevestigde dat deze in het wild werd misbruikt, is CVE-2026-68820, een kwetsbaarheid voor verhoging van bevoegdheden in de Windows Ancillary Function Driver for WinSock (afd.sys) . Automox omschreef het als 'de driver achter Windows-socketverbindingen op vrijwel elk endpoint' . Het bug stelt een lokaal geauthenticeerde aanvaller in staat om SYSTEM-niveau toegang te krijgen op getroffen systemen .

LegacyHive (CVE-2026-62832): Openbaar gemaakte Windows User Profile Service-fout

CVE-2026-62832, in de wandelgangen 'LegacyHive' gedoopt, is een kwetsbaarheid voor verhoging van bevoegdheden in de Windows User Profile Service, die voortkomt uit een onjuiste koppelingsoplossing vóór bestandstoegang (CWE-59) . Microsoft gaf het een belangrijke classificatie met een CVSS-score van 7,8 en beoordeelde de kans op misbruik als 'waarschijnlijker' .

Hoe LegacyHive werkt

Een geauthenticeerde aanvaller die beschikt over inloggegevens voor een tweede lokaal account kan een speciaal geprepareerde applicatie uitvoeren om de registry-hive van een andere gebruiker te laden, wat kan leiden tot administratorrechten . De kwetsbaarheid treft Windows 10, Windows 11 en Windows Server 2022/2025 voordat de gepatchte builds zijn geïnstalleerd .

ShieldBreak: De exploit die Microsofts eigen patch zou omzeilen

Op 12 augustus 2026 — de dag na Patch Tuesday — publiceerde onderzoeker Nightmare Eclipse (ook bekend als Chaotic Eclipse) een proof-of-concept exploit genaamd ShieldBreak . Volgens de onderzoeker is ShieldBreak een volledige omzeiling van Microsofts juli-patch voor CVE-2026-50656 ('RoguePlanet'), een race-condition-kwetsbaarheid voor privilege-escalatie in de Microsoft Defender Malware Protection Engine (mpengine.dll) .

Wat ShieldBreak doet

ShieldBreak verleent naar verluidt NT AUTHORITY\SYSTEM-rechten op volledig gepatchte Windows 10-, Windows 11- en Windows Server-systemen . De exploit gebruikt een aanvalspad dat verschilt van zijn voorganger: terwijl RoguePlanet een bestandssysteem-raceconditie met virtuele schijven misbruikte, onderschept ShieldBreak user-mode callbacks om bestandsinhoud te wijzigen tijdens Defenders cloud-hydratiescan via de Windows Cloud Filter API (cfapi) . De onderzoeker stelde dat de proof-of-concept een '100% slagingspercentage' haalt op Windows 11 25H2 en Windows Server 2025 .

Huidige status

Sommige analisten merkten op dat Microsoft de omzeilingsvector mogelijk al geruisloos heeft gepatcht . Echter, op het moment van publicatie van ShieldBreak was er geen officiële Microsoft-fix beschikbaar om de omzeiling te dichten . Onafhankelijke onderzoekers, waaronder Howler Cell, bevestigden succesvolle reproductie op een volledig gepatchte Windows 11 Pro-host .

De bredere escalatie: Nightmare Eclipse versus Microsoft

De publicatie van ShieldBreak is het meest recente hoofdstuk in een escalerend conflict tussen Microsoft en de anonieme onderzoeker Nightmare Eclipse.

Negen zero-days sinds april 2026

Sinds april 2026 heeft Nightmare Eclipse in totaal negen zero-day exploits openbaar gemaakt, waaronder eerdere kwetsbaarheden met de namen RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma en MiniPlasma . Drie hiervan — BlueHammer, RedSun en UnDefend — werden bevestigd als misbruikt in het wild en toegevoegd aan de CISA Known Exploited Vulnerabilities (KEV)-catalogus .

Juridische dreigementen van Microsoft en de terugslag

Op 27 mei 2026 publiceerde het Microsoft Security Response Center (MSRC) een bericht waarin strafrechtelijke vervolging werd gedreigd tegen de onderzoeker . Microsoft schakelde ook de accounts van de onderzoeker uit op GitHub (eigendom van Microsoft) en GitLab . Deze zet leidde tot een grote terugslag vanuit de beveiligingsgemeenschap . Op 1 juni 2026 zwakte Microsoft zijn dreigementen gedeeltelijk af, door publiekelijk te verduidelijken dat het 'niet de bedoeling heeft om actie te ondernemen tegen personen die hun beveiligingsonderzoek uitvoeren of publiceren' .

Voortdurende publicatie ondanks dreigementen

Nightmare Eclipse is doorgegaan met het publiceren van zero-day exploits gedurende het hele conflict, waarbij ShieldBreak onmiddellijk na de Patch Tuesday-update van augustus 2026 verscheen . De onderzoeker beweert dat eerdere meldingen van kwetsbaarheden via de officiële kanalen van Microsoft werden genegeerd, wat de openbaarmakingen motiveerde .

Belangrijkste aandachtspunten voor IT-beheerders

1. Patch CVE-2026-68820 als eerste — de WinSock-driver zero-day wordt actief misbruikt in het wild .
2. Geef prioriteit aan CVE-2026-62832 (LegacyHive) — hoewel nog niet misbruikt, beoordeelt Microsoft de kans op misbruik als 'waarschijnlijker' en er bestaat openbare PoC-code .
3. De ShieldBreak-situatie is nog niet uitgekristalliseerd — Microsoft heeft de omzeilingsvector mogelijk al geruisloos gepatcht, maar er is geen officiële bevestiging of fix uitgebracht . Beheerders moeten de updates voor de Microsoft Defender Malware Protection Engine in de gaten houden.
4. De campagne van Nightmare Eclipse gaat door — er zijn negen zero-days gepubliceerd sinds april 2026 en er kunnen er nog volgen .

De omvang van de augustus 2026 patchbatch

Microsoft dichtte tussen de 398 en 421 kwetsbaarheden in Windows, Office, Azure, Exchange, SharePoint en andere producten . De CVE-aantallen verschillen per bron:

• SANS ISC: 418 CVEs, 62 kritiek
• Tenable: 398 CVEs, 42 kritiek
• CrowdStrike: 415 CVEs, 62 kritiek
• Splashtop: 421 CVEs
• BleepingComputer: ~400 fouten, 3 zero-days

Alle grote bronnen zijn het erover eens dat het totaal op 'ruwweg 400' kwetsbaarheden ligt .

De actief misbruikte zero-day: CVE-2026-68820

De enige zero-day waarvan Microsoft bevestigde dat deze in het wild werd misbruikt, is CVE-2026-68820, een kwetsbaarheid voor verhoging van bevoegdheden in de Windows Ancillary Function Driver for WinSock (afd.sys) . Automox omschreef het als 'de driver achter Windows-socketverbindingen op vrijwel elk endpoint' . Het bug stelt een lokaal geauthenticeerde aanvaller in staat om SYSTEM-niveau toegang te krijgen op getroffen systemen .

LegacyHive (CVE-2026-62832): Openbaar gemaakte Windows User Profile Service-fout

CVE-2026-62832, in de wandelgangen 'LegacyHive' gedoopt, is een kwetsbaarheid voor verhoging van bevoegdheden in de Windows User Profile Service, die voortkomt uit een onjuiste koppelingsoplossing vóór bestandstoegang (CWE-59) . Microsoft gaf het een belangrijke classificatie met een CVSS-score van 7,8 en beoordeelde de kans op misbruik als 'waarschijnlijker' .

Hoe LegacyHive werkt

Een geauthenticeerde aanvaller die beschikt over inloggegevens voor een tweede lokaal account kan een speciaal geprepareerde applicatie uitvoeren om de registry-hive van een andere gebruiker te laden, wat kan leiden tot administratorrechten . De kwetsbaarheid treft Windows 10, Windows 11 en Windows Server 2022/2025 voordat de gepatchte builds zijn geïnstalleerd .

ShieldBreak: De exploit die Microsofts eigen patch zou omzeilen

Op 12 augustus 2026 — de dag na Patch Tuesday — publiceerde onderzoeker Nightmare Eclipse (ook bekend als Chaotic Eclipse) een proof-of-concept exploit genaamd ShieldBreak . Volgens de onderzoeker is ShieldBreak een volledige omzeiling van Microsofts juli-patch voor CVE-2026-50656 ('RoguePlanet'), een race-condition-kwetsbaarheid voor privilege-escalatie in de Microsoft Defender Malware Protection Engine (mpengine.dll) .

Wat ShieldBreak doet

ShieldBreak verleent naar verluidt NT AUTHORITY\SYSTEM-rechten op volledig gepatchte Windows 10-, Windows 11- en Windows Server-systemen . De exploit gebruikt een aanvalspad dat verschilt van zijn voorganger: terwijl RoguePlanet een bestandssysteem-raceconditie met virtuele schijven misbruikte, onderschept ShieldBreak user-mode callbacks om bestandsinhoud te wijzigen tijdens Defenders cloud-hydratiescan via de Windows Cloud Filter API (cfapi) . De onderzoeker stelde dat de proof-of-concept een '100% slagingspercentage' haalt op Windows 11 25H2 en Windows Server 2025 .

Huidige status

Sommige analisten merkten op dat Microsoft de omzeilingsvector mogelijk al geruisloos heeft gepatcht . Echter, op het moment van publicatie van ShieldBreak was er geen officiële Microsoft-fix beschikbaar om de omzeiling te dichten . Onafhankelijke onderzoekers, waaronder Howler Cell, bevestigden succesvolle reproductie op een volledig gepatchte Windows 11 Pro-host .

De bredere escalatie: Nightmare Eclipse versus Microsoft

De publicatie van ShieldBreak is het meest recente hoofdstuk in een escalerend conflict tussen Microsoft en de anonieme onderzoeker Nightmare Eclipse.

Negen zero-days sinds april 2026

Sinds april 2026 heeft Nightmare Eclipse in totaal negen zero-day exploits openbaar gemaakt, waaronder eerdere kwetsbaarheden met de namen RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma en MiniPlasma . Drie hiervan — BlueHammer, RedSun en UnDefend — werden bevestigd als misbruikt in het wild en toegevoegd aan de CISA Known Exploited Vulnerabilities (KEV)-catalogus .

Juridische dreigementen van Microsoft en de terugslag

Op 27 mei 2026 publiceerde het Microsoft Security Response Center (MSRC) een bericht waarin strafrechtelijke vervolging werd gedreigd tegen de onderzoeker . Microsoft schakelde ook de accounts van de onderzoeker uit op GitHub (eigendom van Microsoft) en GitLab . Deze zet leidde tot een grote terugslag vanuit de beveiligingsgemeenschap . Op 1 juni 2026 zwakte Microsoft zijn dreigementen gedeeltelijk af, door publiekelijk te verduidelijken dat het 'niet de bedoeling heeft om actie te ondernemen tegen personen die hun beveiligingsonderzoek uitvoeren of publiceren' .

Voortdurende publicatie ondanks dreigementen

Nightmare Eclipse is doorgegaan met het publiceren van zero-day exploits gedurende het hele conflict, waarbij ShieldBreak onmiddellijk na de Patch Tuesday-update van augustus 2026 verscheen . De onderzoeker beweert dat eerdere meldingen van kwetsbaarheden via de officiële kanalen van Microsoft werden genegeerd, wat de openbaarmakingen motiveerde .

Belangrijkste aandachtspunten voor IT-beheerders

1. Patch CVE-2026-68820 als eerste — de WinSock-driver zero-day wordt actief misbruikt in het wild .
2. Geef prioriteit aan CVE-2026-62832 (LegacyHive) — hoewel nog niet misbruikt, beoordeelt Microsoft de kans op misbruik als 'waarschijnlijker' en er bestaat openbare PoC-code .
3. De ShieldBreak-situatie is nog niet uitgekristalliseerd — Microsoft heeft de omzeilingsvector mogelijk al geruisloos gepatcht, maar er is geen officiële bevestiging of fix uitgebracht . Beheerders moeten de updates voor de Microsoft Defender Malware Protection Engine in de gaten houden.
4. De campagne van Nightmare Eclipse gaat door — er zijn negen zero-days gepubliceerd sinds april 2026 en er kunnen er nog volgen .