Certighost: Public-PoC für AD-CS-Lücke ermöglicht Domänenübernahme

Für eine Schwachstelle in den Active Directory Certificate Services (AD CS) ist seit dem 24. Juli 2026 ein voll funktionsfähiger Exploit öffentlich verfügbar. Über die als CVE-2026-54121 geführte Lücke – Spitzname „Certighost“ – kann ein Angreifer mit einem gewöhnlichen Domänenkonto einen Domänencontroller nachahmen und im Ergebnis die gesamte Windows-Domäne übernehmen. Microsoft hat die Lücke bereits am Juli-Patchday geschlossen; wer die Updates eingespielt hat, ist geschützt.

Was ist passiert?

Microsoft hat am Juli-Patchday (14. Juli 2026) die Schwachstelle CVE-2026-54121 in den Active Directory Certificate Services (AD CS) behoben – eine Berechtigungslücke (Improper Authorization) mit einem CVSS-Wert von 8.8 (hoch). Zehn Tage später, am 24. Juli 2026, haben die Sicherheitsforscher H0j3n und Aniq Fakhrul einen funktionierenden Proof-of-Concept (PoC) veröffentlicht.

Der Angriff funktioniert so: Ein bereits angemeldeter Benutzer mit niedrigen Rechten – ohne Admin-Berechtigungen und ohne Nutzerinteraktion – kann Attribute eines Maschinenkontos manipulieren und sich von der Zertifizierungsstelle (CA) ein Zertifikat ausstellen lassen, das die Identität eines legitimen Domänencontrollers trägt. Über die Kerberos-Anmeldung (PKINIT) authentisiert sich der Angreifer anschließend als Domänencontroller, kann per DCSync das krbtgt-Geheimnis auslesen und damit ein „Golden Ticket“ erzeugen – die Vorstufe zur vollständigen Domänenübernahme.

Wichtig zur Einordnung: Laut Microsoft (Stand 28. Juli 2026) wurde bislang keine aktive Ausnutzung durch Angreifer beobachtet. Mit dem nun öffentlichen Exploit-Code steigt das Risiko realer Angriffe jedoch deutlich.

Wer ist betroffen?

Betroffen sind Windows-Domänen mit einer lokal betriebenen Zertifizierungsstelle (Enterprise CA / AD CS). Laut den Quellen reichen die verwundbaren Systeme von Windows Server 2012 bis Windows Server 2025 sowie Windows 10 (Versionen 1607 und 1809). Praktisch trifft das viele kleine und mittlere Unternehmen, die eine eigene Active-Directory-Umgebung mit interner Zertifikatsstelle betreiben. Reine Cloud-Umgebungen (Entra ID / Microsoft 365) ohne eigene AD-CS-Instanz sind von dieser konkreten Lücke nicht betroffen.

Was jetzt zu tun ist

1. Juli-2026-Sicherheitsupdates einspielen – auf allen Domänencontrollern und insbesondere auf allen Servern mit Enterprise-CA-/AD-CS-Rolle. Der Patch vom 14. Juli 2026 schließt die Lücke.
2. Patch-Stand prüfen: Kontrollieren, ob wirklich alle CA- und AD-Server das Juli-Update erhalten haben – ein einzelner ungepatchter CA-Server genügt für den Angriff.
3. Überwachung aktivieren: Detailliertes Audit-Logging für den Zertifikatslebenszyklus einschalten (Windows-Events 4886/4887). Microsoft Defender erkennt verdächtige Zertifikatsanfragen und meldet u. a. „Possible Certighost (CVE-2026-54121) abuse in AD CS“.
4. AD-CS-Konfiguration härten: Berechtigungen auf Zertifikatsvorlagen und die Ausstellungslogik der CA prüfen; nicht benötigte Vorlagen deaktivieren.
5. Im Verdachtsfall ungewöhnliche DC-Authentisierungen und DCSync-Aktivität untersuchen und bei Kompromittierungsverdacht das krbtgt-Passwort (kontrolliert, zweifach) zurücksetzen.

So hilft Binary System Services

Wir prüfen für Sie den Patch-Stand Ihrer Domänencontroller und Zertifizierungsstellen, spielen fehlende Updates kontrolliert ein und richten ein Monitoring ein, das verdächtige Zertifikats- und DC-Aktivitäten früh meldet. Auf Wunsch härten wir Ihre AD-CS-Konfiguration und stehen im Ernstfall für Notfallhilfe bereit. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.