Microsoft: Proof-of-Concept-Exploit für „Certighost“-AD-Lücke aufgetaucht

Erhöhte Alarmbereitschaft nach Veröffentlichung von Exploit-Code

Microsoft hat eine dringende Warnung für Administratoren herausgegeben: Für die Sicherheitslücke „Certighost“ (CVE-2026-54121) ist mittlerweile ein Proof-of-Concept-Exploit (PoC) im Internet verfügbar. Die Schwachstelle betrifft die Active Directory Certificate Services (AD CS) und ermöglicht es Angreifern, ihre Rechte innerhalb des Netzwerks bis hin zum Administrator-Status auszuweiten. Da der nun veröffentlichte Code eine detaillierte Analyse der Lücke enthält, stuft Microsoft die Gefahr für Unternehmen als deutlich erhöht ein.

Funktionsweise der Schwachstelle

Bei Certighost handelt es sich um eine kritische Sicherheitslücke mit einem CVSS-Score von 8,8, was einem „hohen“ Risiko entspricht. Die Schwachstelle erlaubt es bereits angemeldeten Benutzern, Attribute von Maschinen-Konten gezielt zu manipulieren. Durch diesen Eingriff ist es möglich, ein Zertifikat der AD CS zu erhalten, das für eine Authentifizierung via „PKINIT“ genutzt werden kann.

Die Konsequenzen für die betroffene IT-Infrastruktur sind gravierend: Ein Angreifer kann sich nach erfolgreicher Manipulation als Domain-Controller ausgeben. In dieser Rolle ist es dem Angreifer möglich, weitreichende Operationen innerhalb des Active Directory durchzuführen. Laut Microsoft haben Sicherheitsforscher die Schwachstelle bereits zu Testzwecken untersucht; ein aktiver Missbrauch durch Kriminelle wurde bisher zwar noch nicht offiziell bestätigt, gilt jedoch aufgrund des verfügbaren Exploit-Codes als zunehmend wahrscheinlich.

Schutzmaßnahmen für Administratoren

Um das Risiko einer Kompromittierung zu minimieren, hat Microsoft klare Handlungsempfehlungen formuliert. Die wichtigste Maßnahme ist die unverzügliche Installation der Sicherheitsupdates, die bereits im Rahmen des Juli-Patchdays bereitgestellt wurden.

Priorität: Juli-Patches einspielen

Die Korrekturen sollten vorrangig auf allen Servern installiert werden, auf denen eine Enterprise Certification Authority (CA) betrieben wird. Das Update sorgt dafür, dass das Ziel von Registrierungsanfragen validiert wird, bevor die CA mit diesem in Kontakt tritt. Dieser Mechanismus unterbindet effektiv das Ausstellen von manipulierten Zertifikaten.

Überwachung und Auditierung

Für IT-Verantwortliche, die die Updates nicht sofort einspielen können, empfiehlt der Hersteller eine verstärkte Überwachung. Hierzu sollte die Funktion „Enable Certification Services auditing“ für erfolgreiche sowie fehlgeschlagene Operationen aktiviert werden. Die Konfiguration der Audit-Filter sollte so angepasst werden, dass der gesamte Zertifikats-Lebenszyklus erfasst wird.

Besondere Aufmerksamkeit sollten Administratoren auf folgende Indikatoren legen:

* Sicherheitsereignisse 4886 und 4887, die auf anormale Zertifikatsanfragen und -ausgaben hindeuten.

* Zertifikate, die über Machine-Templates angefordert wurden und unerwartete Identitätsinformationen von Domain-Controllern enthalten.

Erkennung durch Microsoft Defender

Der Microsoft Defender ist bereits in der Lage, bösartige Zertifikatsanfragen im Zusammenhang mit Certighost zu identifizieren. Administratoren sollten ihre Logs auf spezifische Alarme wie „Potential Certighost (CVE-2026-54121) AD CS abuse“ oder „Active Directory Certificate Services attack tool activity“ prüfen.

Darüber hinaus können auch allgemeinere Warnmeldungen auf einen Angriff hindeuten. Dazu zählen unter anderem:

* Verdächtige LDAP-Aktivitäten zur Erkennung von Sicherheitsprinzipalen.

* Ungewöhnliche Kerberos-Ticket-Anfragen.

* Hinweise auf „DCSync“-Angriffe, bei denen die Replikation von Verzeichnisdiensten imitiert wird.

Angesichts der technischen Details, die nun öffentlich zugänglich sind, ist eine zeitnahe Reaktion der IT-Abteilungen essenziell, um die Integrität des Active Directory zu gewährleisten.