Certighost CVE-2026-54121 Active Directory Domain-Übernahme

Certighost CVE-2026-54121 Active Directory ist eine Schwachstelle in den Zertifikatsdiensten, die aus einem gewöhnlichen Domänen-Benutzerkonto die volle Kontrolle über die gesamte Windows-Domäne macht — ohne Admin-Rechte, ohne Schadsoftware, ohne Phishing. Microsoft hat die Lücke am 14. Juli 2026 gepatcht, doch eine vollständige technische Beschreibung samt funktionierendem Proof-of-Concept wurde bereits am 24. Juli veröffentlicht. Wer seine Active-Directory-Certificate-Services-Server noch nicht auf den Juli-Stand gebracht hat, sollte das als dringend behandeln.

Was ist passiert

Certighost CVE-2026-54121 Active Directory Certificate Services (AD CS) missbraucht einen Zertifikats-Enrollment-Fallback-Mechanismus, bekannt als „Chase“, mit einem CVSS-Wert von 8.8. Während der Auflösung von Verzeichnisobjekten kann die Certification Authority dazu gebracht werden, eine vom Angreifer kontrollierte Identität statt eines legitimen Domain Controllers aufzulösen. Ein authentifizierter Angreifer mit nichts weiter als einem Standard-Domänenkonto manipuliert Attribute eines von ihm kontrollierten Computerkontos, löst die fehlerhafte Chase-Logik aus und erhält ein CA-signiertes Zertifikat, das ihn per PKINIT als echten Domain Controller authentifiziert.

Von dort aus nutzt der Angreifer dieses Zertifikat, um eine DCSync-Operation auszuführen — eine legitime Replikationsfunktion, die Domain Controller normalerweise untereinander nutzen — und extrahiert das krbtgt-Kontogeheimnis, den Hauptschlüssel, der Kerberos in der gesamten Domäne zugrunde liegt. Die Forscher H0j3n und Aniq Fakhrul meldeten die Lücke im Mai 2026 an Microsoft. Microsoft veröffentlichte am 14. Juli 2026 einen Fix, die vollständige technische Beschreibung samt funktionierendem Proof-of-Concept folgte zehn Tage später, am 24. Juli.

Microsofts Update vom 14. Juli fügt der Chase-Logik der CA eine Validierungsprüfung hinzu: Bevor eine Chase-Anfrage fortgesetzt wird, prüft die CA nun, ob der angegebene Hostname tatsächlich auf ein legitimes Domain-Controller-Computerobjekt im echten Verzeichnis verweist. Organisationen, die die kumulativen Juli-Updates auf ihren AD-CS-Servern eingespielt haben, sind gegen Certighost CVE-2026-54121 geschützt; Active-Directory-Umgebungen, die noch auf dem Juni-Stand oder älter sind, sind es nicht — und ein funktionierender öffentlicher Exploit existiert bereits.

Warum das wichtig ist

On-Premises Active Directory mit AD CS bleibt das Identitäts-Rückgrat für die überwiegende Mehrheit der DACH-Mittelstands- und Unternehmensumgebungen, einschließlich vieler Organisationen, die noch nicht vollständig zu Entra ID migriert sind oder Hybrid-Identity-Setups betreiben. Eine Schwachstelle, die ein Standard-Domänenkonto in eine vollständige Domänen-Kompromittierung verwandelt — ohne Admin-Rechte, ohne Social Engineering, nur über eine scheinbar legitime Zertifikatsanfrage — trifft direkt die Kern-Identitätsinfrastruktur statt eines Randsystems.

Das erweitert DIESECs 2026er Bogen „Identität als Angriffsfläche“: Azure-CLI-Password-Spraying gegen MFA (3. Juli), der Diebstahl von Signal-Backup-Wiederherstellungsschlüsseln durch russische Nachrichtendienste (1. Juli) und die Dashlane-Passwort-Tresor-Exfiltration (5. Juni). Certighost ist darin womöglich der bislang folgenreichste Eintrag, weil hier weder gestohlene Zugangsdaten noch Social Engineering noch Drittanbieter-Software nötig sind — die Lücke missbraucht einen legitimen, standardmäßig aktiven Zertifikatsausstellungs-Workflow.

Was Sie jetzt tun sollten

1. Prüfen Sie, ob Ihre AD-CS-Server das kumulative Microsoft-Update vom 14. Juli 2026 installiert haben — das ist der Fix für CVE-2026-54121.
2. Prüfen: Auditieren Sie Ihre Certification-Authority-Konfiguration auf Zertifikatsvorlagen und Enrollment-Berechtigungen, die niedrig privilegierten Konten breite Enrollment-Rechte einräumen.
3. Falls sofortiges Patchen nicht möglich ist, prüfen Sie CA-Logs auf Chase-Request-Muster mit unerwarteten Computerkonto-Hostnamen als kompensierende Erkennungsmaßnahme.
4. Überwachen Sie DCSync-Aktivität von unerwarteten Quellkonten — dass Domain Controller untereinander replizieren, ist normal; dass ein Konto vom Typ Arbeitsstation Replikationsdaten anfragt, ist es nicht.

DIESEC Einschätzung

Certighost ist weniger eine neuartige Angriffstechnik als ein Konfigurations- und Patch-Versäumnis innerhalb einer bekannten Angriffsklasse: das Fälschen eines Domain-Controller-Zertifikats zur Ermöglichung von DCSync gehört zur seit Langem dokumentierten Familie des AD-CS-Zertifikatsvorlagen-Missbrauchs. Die Lehre daraus: AD-CS-Umgebungen brauchen laufendes Patch-Tracking und CA-Konfigurationsreviews als Daueraufgabe, nicht als einmaliges Hardening-Projekt, das danach in Vergessenheit gerät.

Nicht sicher, ob Ihre Active-Directory-Certificate-Services-Umgebung gepatcht oder gegen zertifikatsbasierte Domänen-Übernahme abgesichert ist? Kontaktieren Sie DIESEC für eine schnelle Identity-Konfigurationsprüfung Ihrer AD-CS-Umgebung.

Quellen: The Hacker News | BleepingComputer
Veröffentlicht: 2026-07-31 | Kategorie: Tägliche News | ~4 Min. Lesezeit