Das ist der Albtraum jeder Windows-Domäne: Ein ganz normaler Benutzeraccount — kein Admin, keine besonderen Rechte — holt sich ein Zertifikat, das ihn zum Domain Controller macht. Von dort ist es nur noch ein Schritt zur kompletten Domäne. Die Lücke heißt Certighost, läuft als CVE-2026-54121 und seit dem 24. Juli liegt ein funktionierender Angriffscode im Netz.
SO läuft der Angriff
Schuld ist ein Ausweich-Mechanismus in den Active Directory Certificate Services (AD CS). Wenn die Zertifizierungsstelle ein Verzeichnis-Objekt auflösen soll und dabei ins Stocken kommt, folgt sie einem sogenannten Chase — sie fragt woanders nach. Über das Antrags-Attribut cdc kann ein Angreifer bestimmen, wen die Zertifizierungsstelle fragt. Und wenn das ein Rechner unter seiner Kontrolle ist, liefert der dort die Identitätsdaten eines Domain Controllers zurück.
Das Ergebnis: Die Zertifizierungsstelle stellt ein gültiges Zertifikat für den Domain Controller aus. Der Angreifer meldet sich damit als diese Maschine an. Und weil Domain Controller das Recht zur Verzeichnis-Replikation besitzen, kann er anschließend per DCSync die Geheimnisse der Domäne abziehen — inklusive des krbtgt-Hashes. Wer den hat, kann sich beliebige Kerberos-Tickets selbst ausstellen. Die Domäne ist damit vollständig verloren.
GEFAHR! Was der Angreifer dafür braucht
Erschreckend wenig. Laut Microsoft, das die Lücke als improper authorization einordnet und mit CVSS 8.8 bewertet, reichen:
- Netzwerkzugang zur Zertifizierungsstelle,
- ein normales Domänenkonto,
- keine Administratorrechte,
- keine Interaktion eines Opfers.
Ein einziger geleakter Mitarbeiter-Login genügt also. Das ist genau das Szenario, in dem Phishing-Kampagnen enden.
Der Patch ist längst da — nur eingespielt?
Die gute Nachricht: Microsoft hat Certighost mit den Juli-Sicherheitsupdates 2026 geschlossen. Der Fix führt eine neue Prüffunktion namens _ValidateChaseTargetIsDC ein, die hinter einem Servicing-Schalter (Feature_3185813818) steckt.
Bevor die Zertifizierungsstelle einem cdc-Ziel folgt, prüft sie jetzt zwei Dinge: Ist das Ziel wirklich ein Computer-Objekt mit dem SERVER_TRUST_ACCOUNT-Merkmal (Wert 8192)? Und stimmt anschließend der SID-Vergleich, damit niemand ein Objekt austauscht? Erst dann geht die Anfrage raus.
Die schlechte Nachricht: Zwischen Patch und öffentlichem Exploit lagen nur wenige Tage. Die Forscher H0j3n und Aniq Fakhrul haben am 24. Juli einen funktionierenden Angriffsweg veröffentlicht. Wer die Juli-Updates auf seinen CA-Servern noch nicht installiert hat, steht ab jetzt ungeschützt im Wind.
So rettest du deine Domäne in 30 MINUTEN
Erstens: Juli-Sicherheitsupdates auf allen Servern mit der Rolle „Zertifizierungsstelle“ einspielen und neu starten. Das ist der eigentliche Fix, alles andere ist Beiwerk.
Zweitens: Prüfe, ob AD CS bei dir überhaupt läuft — in vielen kleinen Umgebungen wurde die Rolle irgendwann für ein WLAN-Zertifikat installiert und dann vergessen. Nicht benötigte Zertifizierungsstellen gehören abgeschaltet, nicht gepflegt.
Drittens: Schau in die Ausstellungs-Protokolle deiner Zertifizierungsstelle. Zertifikate, die auf ein Computerkonto eines Domain Controllers ausgestellt wurden, ohne dass dieser sie selbst angefordert hat, sind ein deutliches Warnsignal.
Viertens: Falls du Anzeichen für einen erfolgreichen Angriff findest, hilft ein Patch allein nicht mehr. Dann muss das krbtgt-Passwort zweimal zurückgesetzt werden (mit Abstand für die Replikation) — sonst behält der Angreifer seinen Generalschlüssel.
FAZIT: Zertifikate sind Schlüssel, keine Deko
AD CS ist in vielen Netzen die stillste und am schlechtesten gepflegte Komponente — und gleichzeitig die, die Vertrauen ausstellt. Certighost zeigt zum wiederholten Mal: Wer Zertifikate verteilt, verteilt Identitäten. Der Juli-Patch gehört heute auf jeden CA-Server, nicht irgendwann im Wartungsfenster.