Sicherheitsforscher haben einen funktionsfähigen Exploit-Code für eine kritische Schwachstelle in den Microsoft Active Directory Certificate Services (AD CS) öffentlich zugänglich gemacht. Die unter der Bezeichnung „Certighost“ bekannte Sicherheitslücke ermöglicht es Angreifern mit minimalen Berechtigungen, die vollständige Kontrolle über eine Windows-Domäne zu übernehmen. Obwohl Microsoft bereits im Juli 2026 ein Sicherheitsupdate bereitgestellt hat, erhöht die Verfügbarkeit des sogenannten Proof-of-Concept-Exploits (PoC) die Dringlichkeit für Unternehmen, ihre Systeme abzusichern.
Funktionsweise und technischer Hintergrund von Certighost
Die Schwachstelle wird unter der Kennung CVE-2026-54121 geführt und mit einem CVSS-Score von 8,8 als hochriskant eingestuft. Den Sicherheitsforschern zufolge liegt das Problem im sogenannten Chase-Mechanismus der Zertifikatsregistrierung innerhalb der AD-Zertifikatdienste. Ein authentifizierter Angreifer benötigt lediglich die Rechte eines einfachen Domänenbenutzers, um den Angriff zu starten. Administratorrechte oder eine Interaktion durch andere Benutzer sind für die Ausnutzung nicht erforderlich.
Immer mehr Unternehmen werden Opfer von Cyberangriffen – diese Checkliste hilft Ihnen, es zu verhindern. Erfahren Sie im kostenlosen E-Book, wie Sie sich proaktiv absichern, bevor Sicherheitslücken wie Certighost zum Verhängnis werden. Experten-Checkliste für proaktive IT-Sicherheit jetzt kostenlos herunterladen
Der technische Kern des Angriffs basiert auf der Manipulation der Attribute cdc und rmd. Durch diese gezielte Beeinflussung wird die Zertifizierungsstelle dazu getäuscht, ein Zertifikat für einen Domain Controller auszustellen. Im weiteren Verlauf des Angriffs kann dies über eine DCSync-Attacke zur vollständigen Übernahme der gesamten Domäne führen. Damit stufen Experten das Risiko für die Unternehmensinfrastruktur als kritisch ein, da die Integrität des zentralen Identitätsmanagements unmittelbar gefährdet ist.
Zeitlicher Verlauf und Identifikation der Sicherheitslücke
Die Entdeckung der Schwachstelle geht auf die Sicherheitsforscher Aniq Fakhrul und Muhammad Ali zurück, welche die Problematik bereits im Mai 2026 an Microsoft meldeten. Der Softwarekonzern reagierte am 14. Juli 2026 im Rahmen des monatlichen Patch-Tuesdays mit der Veröffentlichung einer entsprechenden Korrekturmaßnahme.
Am 27. Juli 2026 veröffentlichten die Forscher @h0j3n und @aniqfakhrul schließlich den funktionierenden PoC-Code für Certighost. Diese Veröffentlichung dient in der Regel dazu, die theoretische Gefahr zu belegen, bietet jedoch gleichzeitig potenziellen Angreifern eine Vorlage. Bisher gibt es laut Branchenberichten keine bestätigten Erkenntnisse darüber, dass die Schwachstelle bereits in freier Wildbahn für Angriffe ausgenutzt wurde.
Neue Cyberrisiken erfordern schnelles Handeln und fundiertes Wissen über aktuelle Bedrohungslagen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und technischen Schutzmaßnahmen Unternehmer jetzt kennen müssen, um ihre Firma langfristig abzusichern. Kostenlosen Cyber-Security-Report jetzt anfordern
Empfehlungen zur Absicherung und Schadensbegrenzung
Microsoft und IT-Sicherheitsexperten raten dringend dazu, die im Juli 2026 veröffentlichten Sicherheitsupdates zeitnah einzuspielen, um die Lücke CVE-2026-54121 dauerhaft zu schließen. Für Organisationen, die den Patch nicht unmittelbar implementieren können, existiert eine alternative Methode zur Schadensbegrenzung.
Durch die Deaktivierung der Chase-Funktion über ein Policy-Flag kann der Angriffsvektor blockiert werden. Dies lässt sich über den Befehl certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC realisieren. Fachleute weisen jedoch darauf hin, dass solche manuellen Eingriffe in die Systemkonfiguration vor dem Einsatz in der Produktionsumgebung in einer Staging-Umgebung validiert werden sollten, um mögliche Auswirkungen auf den regulären Betrieb der Zertifikatsdienste auszuschließen.
