Certighost: Gefährlicher Exploit lässt Angreifer Windows-Domänen kapern

Sicherheitsrisiko in Active Directory Certificate Services

In der IT-Sicherheitslandschaft sorgt derzeit eine Schwachstelle für Aufsehen, die unter dem Namen „Certighost“ bekannt geworden ist. Die Sicherheitslücke, die offiziell als CVE-2026-54121 geführt wird, betrifft die Active Directory Certificate Services (AD CS) von Microsoft. Diese Dienste spielen eine zentrale Rolle bei der Verwaltung und Ausstellung von PKI-Zertifikaten innerhalb von Unternehmensnetzwerken. Experten stufen die Schwachstelle mit einem CVSS-Wert von 8,8 als hochriskant ein, da sie Angreifern ermöglicht, weitreichende Zugriffsrechte in Windows-Umgebungen zu erlangen.

Funktionsweise des Angriffs

Die Ursache für das Sicherheitsproblem liegt laut Microsoft in einer fehlerhaften Autorisierung, die unter der Kennung CWE-285 klassifiziert ist. Durch die Manipulation der Zertifikatsausstellung können sich Angreifer als Domänencontroller ausgeben. Dies führt dazu, dass sie in der Lage sind, privilegierte Aktionen durchzuführen, die im schlimmsten Fall in der vollständigen Übernahme der gesamten Domäne münden.

Ein kritischer Aspekt bei Certighost ist die vergleichsweise niedrige Hürde für eine erfolgreiche Ausnutzung:

* **Keine Administratorrechte erforderlich:** Ein Angreifer benötigt für den Start des Angriffs keine privilegierten Konten.

* **Keine Benutzerinteraktion:** Das Opfer muss keine Aktionen ausführen, damit der Exploit greift.

* **Voraussetzungen:** Ein einfacher Netzwerkzugriff sowie ein bereits vorhandenes, gültiges Domänenkonto mit Standardrechten – beispielsweise ein kompromittierter Mitarbeiter-Account – sind ausreichend.

Hintergrund und Bedrohungslage

Sicherheitsforscher haben mittlerweile sowohl detaillierte technische Analysen als auch einen Proof-of-Concept-Exploit auf der Plattform GitHub veröffentlicht. Microsoft warnt eindringlich davor, dass diese Offenlegung das Risiko für reale Angriffe signifikant erhöht. Zwar liegen zum aktuellen Zeitpunkt noch keine Berichte über aktive Ausnutzungen in freier Wildbahn vor, doch aufgrund des hohen Schadpotenzials ist davon auszugehen, dass Cyberkriminelle die Schwachstelle zeitnah in ihre Angriffswerkzeuge integrieren werden.

Sofortmaßnahmen für Administratoren

Um die Integrität der IT-Infrastruktur zu gewährleisten, ist ein zeitnahes Handeln der IT-Abteilungen erforderlich. Microsoft hat bereits im Rahmen des Juli-Patchdays am 14. Juli entsprechende Sicherheitsupdates bereitgestellt. Diese Patches sind für eine breite Palette an Windows-Systemen verfügbar, darunter Windows 10 sowie alle gängigen Windows-Server-Versionen ab dem Jahr 2012.

Für Unternehmen, die die Sicherheitsupdates nicht unmittelbar einspielen können, bietet der Hersteller ergänzende Informationen an. Über den offiziellen Kanal auf X hat Microsoft Hinweise geteilt, wie Administratoren Versuche zur Ausnutzung der Schwachstelle frühzeitig im Netzwerk identifizieren können. Dennoch bleibt die Installation der offiziellen Patches die einzige dauerhafte und empfohlene Methode, um das Risiko einer Domänenkompromittierung durch Certighost effektiv zu eliminieren.