Microsoft warnt vor Proof-of-Concept-Exploit für „Certighost“-AD-Lücke

Erhöhte Alarmbereitschaft nach Veröffentlichung von Exploit-Code

Microsoft hat eine dringende Sicherheitswarnung für Administratoren herausgegeben. Im Fokus steht die Schwachstelle „Certighost“ (CVE-2026-54121), die eine Rechteausweitung innerhalb der Active Directory Certificate Services (AD CS) ermöglicht. Nachdem bereits im Rahmen des Juli-Patchdays entsprechende Sicherheitsupdates bereitgestellt wurden, ist nun ein Proof-of-Concept-Exploit (PoC) im Internet aufgetaucht. Diese Entwicklung erhöht laut Microsoft das Risiko für gezielte Angriffe signifikant, da nun detaillierte Analysen und Werkzeuge für potenzielle Angreifer frei verfügbar sind.

Die Schwachstelle wird mit einem CVSS-Wert von 8.8 als „hoch“ eingestuft. Sie erlaubt es einem bereits angemeldeten Nutzer, Attribute von Maschinenkonten zu manipulieren. Durch diesen Eingriff können Angreifer ein Zertifikat der AD CS erwirken, das eine Authentifizierung via „PKINIT“ ermöglicht. In der Folge ist es dem Angreifer möglich, die Identität eines Domain-Controllers vorzutäuschen, sich entsprechend zu authentifizieren und weitreichende AD-Operationen durchzuführen.

Schutzmaßnahmen und Priorisierung für Administratoren

Obwohl Microsoft nach eigenen Angaben bisher keine aktiven Angriffe durch bösartige Akteure bestätigen konnte, wurden Aktivitäten von Sicherheitsforschern beobachtet, die die Lücke zu Testzwecken untersuchen. Um die Sicherheit der IT-Infrastruktur zu gewährleisten, empfiehlt das Unternehmen, die Installation der Juli-Patches als höchste Priorität zu behandeln. Dies gilt insbesondere für alle Server, auf denen eine Enterprise Certification Authority (CA) betrieben wird.

Die bereitgestellten Updates bieten einen Schutzmechanismus, indem sie das Ziel von Registrierungsanfragen validieren, bevor die CA damit interagiert. Dadurch wird das Ausstellen manipulierter Zertifikate effektiv unterbunden.

Überwachung und Erkennung von Angriffsversuchen

Für den Fall, dass die Installation der Sicherheitsupdates nicht unmittelbar möglich ist, sollten IT-Verantwortliche verstärkt auf Überwachungsmaßnahmen setzen. Microsoft rät dazu, das „Certification Services auditing“ für sowohl erfolgreiche als auch fehlgeschlagene Operationen zu aktivieren. Die Konfiguration der Audit-Filter sollte dabei so gewählt werden, dass der gesamte Lebenszyklus von Zertifikaten erfasst wird.

Besondere Aufmerksamkeit sollten Administratoren auf folgende Sicherheitsereignisse legen:

* **Ereignis 4886 und 4887:** Diese weisen auf anormale Zertifikatsanfragen beziehungsweise deren Ausgabe hin.

* **Machine-Templates:** Zertifikate, die über diese Vorlagen angefordert wurden und unerwartete Identitätsinformationen von Domain-Controllern enthalten, sollten einer manuellen Prüfung unterzogen werden.

Der Microsoft Defender bietet bereits Unterstützung bei der Erkennung. Er generiert bei entsprechenden Versuchen Alarme, wie beispielsweise „Potential Certighost (CVE-2026-54121) AD CS abuse“ oder „Active Directory Certificate Services attack tool activity“. Zudem können allgemeine Warnmeldungen in den Logs auf einen Missbrauchsversuch hindeuten, darunter Hinweise auf verdächtige LDAP-Abfragen, Kerberos-Ticket-Anfragen oder Aktivitäten, die mit einem DCSync-Angriff in Verbindung stehen.

Hintergrund und Ausblick

Die Veröffentlichung des Proof-of-Concept-Codes ist ein kritischer Wendepunkt, da sie die Hürde für Angreifer senkt, die Schwachstelle ohne tiefgreifende eigene Forschung auszunutzen. Die Kombination aus der Möglichkeit, sich als Domain-Controller auszugeben, und der nun verfügbaren Anleitung zur Ausnutzung macht schnelles Handeln unerlässlich. Administratoren sollten daher umgehend prüfen, ob ihre Systeme den aktuellen Patch-Stand aufweisen und die empfohlenen Monitoring-Einstellungen in den AD CS-Umgebungen vornehmen, um potenzielle Kompromittierungen frühzeitig zu identifizieren.