Sicherheitsforscher haben einen Exploit für eine schwerwiegende Schwachstelle in Windows Active Directory Certificate Services veröffentlicht. Angreifer können damit die Kontrolle über gesamte Firmennetzwerke übernehmen.
Angreifer können sich als Domänencontroller ausgeben
Die als CVE-2026-54121 dokumentierte Lücke mit dem Spitznamen Certighost erlaubt es selbst Nutzern mit niedrigen Berechtigungen, volle administrative Kontrolle über eine Windows-Domäne zu erlangen. Der Exploit wurde am 31. Juli 2026 veröffentlicht – gut zwei Wochen nachdem Microsoft einen Patch bereitgestellt hatte.
Das Problem liegt in einem sogenannten Chase-Fallback-Mechanismus der Active Directory Certificate Services. Die Forscher H0j3n und Aniq Fakhrul, die die Schwachstelle bereits am 14. Mai 2026 gemeldet hatten, zeigten: Durch Manipulation bestimmter Attribute lässt sich eine Zertifizierungsstelle auf einen Server umleiten, der unter Kontrolle des Angreifers steht.
Vom ersten Zugriff zur kompletten Netzwerkübernahme
Der Angriff läuft in mehreren Schritten ab. Zunächst zwingt der Angreifer das System durch manipulierte Attribute dazu, vertrauliche Informationen wie Objekt-IDs und Hostnamen preiszugeben. Damit lässt sich ein DCSync-Angriff durchführen – eine Technik, bei der Anmeldedaten direkt von einem Domänencontroller abgegriffen werden.
Im Erfolgsfall erlangt der Angreifer kryptografische Hashes, die ihm dauerhaften Zugriff auf die gesamte Netzwerkumgebung verschaffen. Für Unternehmen bedeutet das im schlimmsten Fall: vollständiger Kontrollverlust über sämtliche Systeme, Daten und Benutzerkonten.
Angesichts immer komplexerer Angriffsszenarien müssen Unternehmen ihre IT-Sicherheit heute ganzheitlich betrachten. Dieses kostenlose E-Book liefert fundierte Informationen zu aktuellen Bedrohungen und zeigt auf, wie Sie Sicherheitslücken proaktiv schließen. IT-Sicherheit stärken und Unternehmen schützen
Microsoft-Patch und manuelle Notlösung
Microsoft hat die Lücke im Rahmen der Sicherheitsupdates vom 14. Juli 2026 geschlossen. Der Fix zwingt die Zertifizierungsstelle, Umleitungsziele gegen Active Directory zu validieren – genau jene Manipulation, die Certighost ausnutzt, wird damit unterbunden.
Für Organisationen, die den Patch nicht sofort einspielen können, existiert ein manueller Workaround: Über eine Registry-Änderung lässt sich die Client-Domänencontroller-Chase-Option deaktivieren. Sicherheitsexperten raten jedoch eindeutig dazu, den offiziellen Patch zu priorisieren. Nach der Aktualisierung sollten Administratoren zudem Exchange-Berechtigungen prüfen und auf ungewöhnliche browserbasierte Persistenz oder unautorisierte Änderungen an Ordnerberechtigungen achten.
Rekordmonat für Sicherheitsupdates
Die Veröffentlichung des Certighost-Exploits fällt in einen außergewöhnlich turbulenten Sicherheitsmonat. Mit dem Patch Tuesday vom 14. Juli schloss Microsoft insgesamt 570 Schwachstellen – so viele wie nie zuvor in einem einzigen Update-Zyklus. Darunter befanden sich drei Zero-Day-Lücken in BitLocker, Active Directory Federation Services (ADFS) und SharePoint, von denen einige bereits von staatlich unterstützten Akteuren ausgenutzt wurden.
Die hohe Zahl identifizierter Schwachstellen ist auch auf den zunehmenden Einsatz von KI-Tools in der Sicherheitsforschung zurückzuführen. Das Analysewerkzeug Claude Mythos etwa entdeckte in SharePoint allein in diesem Jahr 90 kritische und 141 wichtige Schwachstellen – ein gewaltiger Arbeitsrückstau für die zuständigen Entwicklungsteams.
Wer sich mit der Absicherung moderner Infrastrukturen befasst, muss auch die neuen rechtlichen Rahmenbedingungen für digitale Systeme im Blick behalten. Dieser kostenlose Report klärt darüber auf, welche neuen Pflichten und Risiken durch aktuelle Gesetzesvorgaben auf Unternehmen zukommen. Gratis-Report zu neuen Cyberrisiken und Gesetzen anfordern
Neue CISA-Richtlinien für Open Source
Angesichts der angespannten Bedrohungslage hat die US-Cybersicherheitsbehörde CISA am 30. Juli 2026 neue Leitlinien veröffentlicht. Das Dokument mit dem Titel „Open Source Software: Security Principles and Practices“ schreibt strengere Lebenszyklus-Governance für Open-Source-Komponenten und KI-Modelle vor. Besonderes Augenmerk liegt auf der Integration von Software-Stücklisten (SBOM) in bestehende Asset-Management-Systeme, um Governance-Lücken in Windows-Umgebungen zu schließen.
Für deutsche Unternehmen bedeutet das: Die Bedrohung durch Certighost ist real und akut. Wer den Juli-Patch noch nicht eingespielt hat, sollte dies umgehend nachholen – denn mit dem öffentlich verfügbaren Exploit sinkt die Hürde für Angreifer erheblich.
