Certighost (CVE-2026-54121): Microsoft-Lücke ermöglicht Domain-Übernahme
Veröffentlicht am: 28.07.2026 um 22:41 Uhr | Redaktion boerse-global.de
Sicherheitsforscher haben detaillierte Informationen zu einer kritischen Schwachstelle in den Microsoft Active Directory Certificate Services (AD CS) veröffentlicht. Die unter der Bezeichnung Certighost bekannte Lücke mit der Kennung CVE-2026-54121 ermöglicht es unautorisierten Benutzern, ihre Berechtigungen innerhalb einer IT-Infrastruktur massiv auszuweiten und den Status eines Domain-Controllers zu erlangen.
In den letzten Tagen haben die Sicherheitsforscher H0j3n und Aniq Fakhrul zudem einen Proof-of-Concept-Exploit (PoC) für Certighost öffentlich zugänglich gemacht. Diese Entwicklung verschärft die Bedrohungslage, da authentifizierte Angreifer nun über ein konkretes Werkzeug verfügen, um Windows-Domänen vollständig zu kompromittieren. Der veröffentlichte PoC demonstriert, wie die Sicherheitslücke systematisch ausgenutzt werden kann, um administrative Kontrolle über das Netzwerk zu gewinnen.
Automatisierte Angriffskette gefährdet Domänen-Sicherheit
Der bereitgestellte Exploit in Form des Skripts certighost.py automatisiert wesentliche Schritte des Angriffs. Den Analysen zufolge umfasst der Prozess die Erstellung von Computerkonten sowie die Einrichtung bösartiger LDAP- und SMB-Listener (rogue services). Dabei werden spezifische Attribute (cdc/rmd) modifiziert, um den weiteren Verlauf der Attacke vorzubereiten.
Die vollständige Angriffskette beginnt mit der Erstellung eines Maschinenkontos, gefolgt von der Einleitung bösartiger Dienste und einer gezielten Zertifikatsanfrage. Im weiteren Verlauf nutzen Angreifer das Protokoll PKINIT und das Verfahren DCSync, um schließlich den krbtgt-Hash zu extrahieren. Dieser Hash ist von zentraler Bedeutung, da er die Erstellung sogenannter Golden Tickets ermöglicht, mit denen sich Angreifer dauerhaften und unbeschränkten Zugriff auf die gesamte Domäne sichern können. Berichten zufolge ist das Tool zudem in der Lage, sensible .pfx- und .ccache-Dateien aus dem System zu extrahieren.
Der Certighost-Exploit zeigt eindringlich, wie schnell neue Schwachstellen die gesamte IT-Infrastruktur gefährden können. Dieses kostenlose E-Book unterstützt Sie dabei, Sicherheitslücken proaktiv zu schließen und Ihr Unternehmen vor aktuellen Bedrohungen zu schützen. IT-Sicherheits-Guide jetzt kostenlos herunterladen
Patch-Status und Empfehlungen zur Absicherung
Microsoft hat die Schwachstelle bereits im Rahmen des Patch-Tuesdays am 14. Juli 2026 adressiert. Die Lücke wurde mit einem CVSS-Score von 8.8 bewertet, was ihre hohe Kritikalität unterstreicht. Den vorliegenden Informationen von Forschern zufolge gab es vor der Veröffentlichung des Sicherheitsupdates keine bestätigten Fälle einer aktiven Ausnutzung der Schwachstelle in freier Wildbahn.
Das Unternehmen weist darauf hin, dass der Microsoft Defender mittlerweile in der Lage ist, bösartige Zertifikatsanfragen, die auf Certighost basieren, zu erkennen und zu blockieren. Für Systeme, die nicht unmittelbar aktualisiert werden können, steht ein manueller Workaround zur Verfügung. Dieser umfasst die Anpassung der Registrierungseinstellungen über das Tool certutil und einen anschließenden Neustart des Zertifikatsdienstes.
Neben technischen Patches ist die Sensibilisierung für neue Cyberrisiken und gesetzliche Anforderungen entscheidend für die Resilienz Ihres Unternehmens. Erfahren Sie in diesem Gratis-Report, welche Schutzmaßnahmen Experten jetzt für kleine und mittlere Betriebe empfehlen. Kostenlosen Cyber-Security-Report sichern
IT-Administratoren wird dringend empfohlen, die bereitgestellten Sicherheitsupdates umgehend zu installieren, um die Gefahr von DCSync- und Golden-Ticket-Angriffen zu neutralisieren. Da der PoC-Exploit nun öffentlich verfügbar ist, steigt das Risiko für Unternehmen, die ihre Active-Directory-Umgebungen noch nicht abgesichert haben, deutlich an. Experten betonen die Notwendigkeit, insbesondere die Active Directory Certificate Services streng zu überwachen, da diese zunehmend in das Visier von Angreifern geraten, die eine Privilegieneskalation anstreben.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf- oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
