{"id":327840,"date":"2026-07-27T00:03:53","date_gmt":"2026-07-26T22:03:53","guid":{"rendered":"https:\/\/borncity.com\/blog\/?p=327840"},"modified":"2026-07-28T22:44:52","modified_gmt":"2026-07-28T20:44:52","slug":"certighost-dc-schwachstelle-und-weitere-ms-schwachstellen","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2026\/07\/27\/certighost-dc-schwachstelle-und-weitere-ms-schwachstellen\/","title":{"rendered":"PoC f\u00fcr Certighost (CVE-2026-54121) AD-Schwachstelle ver\u00f6ffentlicht"},"content":{"rendered":"

\"SicherheitCertighost (CVE-2026-54121) ist eine zum 14. Juli 2026 gepatchte Active Directory-Schwachstelle, die normalen AD-Nutzern eine Rechteerh\u00f6hung erm\u00f6glicht. Seit dem 24. Juli 2026 gibt es einen \u00f6ffentlichen Proof of Concept (PoC) Exploit sowie eine ausf\u00fchrliche Beschreibung der Schwachstelle. Kurze Nachlese des Themas, welches letzten Freitag bekannt wurde. Erg\u00e4nzung:<\/strong> Inzwischen warnt Microsoft vor Certighost.<\/p>\n

<\/p>\n

Die Certighost AD-Schwachstelle (CVE-2026-54121)<\/h2>\n

\"\"Die als Certighost bezeichnete AD-Schwachstelle CVE-2026-54121<\/a> basiert auf einer fehlerhaften Autorisierung in den Active Directory-Zertifikatsdiensten (AD CS). Die mit einem CVSS 3.1 Score von 8.8 von Microsoft als High eingestufte Schwachstelle erm\u00f6glicht es einem autorisierten Angreifer, seine Berechtigungen im Netzwerk zu erweitern.<\/p>\n

Microsoft hat die Schwachstelle zum 14. Juli 2026 im Beitrag\u00a0Active Directory Certificate Services Elevation of Privilege Vulnerability<\/a> \u00f6ffentlich gemacht. Ein Angreifer, der diese Sicherheitsl\u00fccke erfolgreich ausnutzt, k\u00f6nnte sich Administratorrechte verschaffen. Ein authentifizierter Angreifer k\u00f6nnte die mit einem Computerkonto verkn\u00fcpften Attribute manipulieren und von den Active Directory-Zertifikatsdiensten ein Zertifikat erhalten, das die Authentifizierung als dieser Computer \u00fcber PKINIT erm\u00f6glicht.<\/p>\n

Wenn ein Dom\u00e4nencontroller-Konto ins Visier genommen werden kann, k\u00f6nnte sich der Angreifer als Dom\u00e4nencontroller authentifizieren und so die M\u00f6glichkeit erhalten, privilegierte Active Directory-Vorg\u00e4nge auszuf\u00fchren. Wenn ich es richtig interpretiere, wurde die Schwachstelle zum 14. Juli 2026 in Windows Server 2025 gepatcht. Bisher sind noch keine Ausnutzungen der Schwachstelle \u00f6ffentlich bekannt.<\/p>\n

PoC f\u00fcr Certighost AD-Schwachstelle \u00f6ffentlich<\/h2>\n

Das k\u00f6nnte sich aber bald \u00e4ndern. Wer noch nicht gepatcht hat, dessen Active Directory ist derzeit im Risiko und nicht sch\u00fctzbar. Denn es gibt einen \u00f6ffentlichen Proof of Concept (PoC), der die zum 14. Juli 2026 \u00f6ffentlich gewordene Certighost AD-Schwachstelle ausnutzt. Die Entdecker haben zum 24. Juli 2026 auf dieser GitHub-Seite<\/a> eine ausf\u00fchrliche Beschreibung der Schwachstellen, der Microsoft Fixes und ein Proof of Concept ver\u00f6ffentlicht. Eine weitere Detailbeschreibung findet sich hier<\/a>.<\/p>\n

\"Certighost-AD-Schwachstelle\"<\/p>\n

The Hacker News weist in obigem Tweet und im Beitrag Certighost Exploit Lets Low-Privileged Active Directory Users Impersonate a Domain Controller<\/a> auf den Sachverhalt hin.<\/p>\n

Microsoft warnt vor Certighost<\/h2>\n

Erg\u00e4nzung: Zum 28. Juli 2026 hat Microsoft nachfolgenden Tweet<\/a> ver\u00f6ffentlicht, in dem vor Certighost gewarnt wird. Microsoft schreibt, dass man am 14. Juli 2026 Sicherheitsupdates ver\u00f6ffentlicht hat, um die Sicherheitsl\u00fccke CVE-2026-54121 (Certighost) zu beheben.<\/p>\n

\"Microsoft<\/a><\/p>\n

Es handele sich um eine Schwachstelle in den Active Directory-Zertifikatsdiensten (AD CS), die eine Ausweitung von Berechtigungen erm\u00f6glicht. Ein authentifizierter Angreifer mit geringen Berechtigungen und Netzwerkzugriff k\u00f6nnte die Zertifikatsregistrierung manipulieren, um sich als Dom\u00e4nencontroller auszugeben, was m\u00f6glicherweise privilegierte Vorg\u00e4nge und die vollst\u00e4ndige Kompromittierung der Dom\u00e4ne erm\u00f6glichen w\u00fcrde.<\/p>\n

Die Ausnutzung erfordert keine Administratorrechte oder Benutzerinteraktion, setzt jedoch Netzwerkzugriff und ein g\u00fcltiges Dom\u00e4nenkonto voraus. Die Ver\u00f6ffentlichung von Proof-of-Concept-Code erh\u00f6ht laut Microsoft die Wahrscheinlichkeit von Ausnutzungsversuchen.<\/p>\n

Microsoft empfiehlt daher Kunden, die Installation des Sicherheitsupdates vom Juli 2026 so bald wie m\u00f6glich vorrangig durchzuf\u00fchren. Microsoft hat Testaktivit\u00e4ten von Forschern beobachtet, konnte jedoch keine aktive Ausnutzung durch Angreifer best\u00e4tigen. Als Reaktion auf diese ersten Anzeichen von Aktivit\u00e4t stellt Microsoft Leitlinien zur Erkennung und Suche bereit. Diese sollen Sicherheitsverantwortlichen dabei helfen, potenzielle Ausnutzungsversuche zu identifizieren, insbesondere in Umgebungen, in denen das Sicherheitsupdate noch nicht installiert wurde.<\/p>\n

Der Microsoft Defender erkennt laut Microsoft inzwischen b\u00f6swillige Zertifikatsanfragen im Zusammenhang mit dieser Sicherheitsl\u00fccke und generiert folgende Warnmeldungen:<\/p>\n