Was im Mai noch ein theoretisches Risiko war, ist jetzt bittere Realität: Die kritische Netlogon-Lücke CVE-2026-41089 wird seit dem 1. Juni 2026 nachweislich aktiv im Netz ausgenutzt. Sicherheitsforscher und Behörden schlagen Alarm — und wenn du einen Windows-Domain-Controller betreibst, solltest du jetzt nicht weiterlesen, sondern patchen. Dann weiterlesen.
GEFAHR: Ein Paket, und der Angreifer ist ROOT
Die Lücke steckt im Netlogon-Dienst von Windows Server — also genau dort, wo Domain Controller die Anmeldungen im Netzwerk abwickeln. Technisch handelt es sich um einen Stack-basierten Buffer Overflow. Das Fiese daran: Ein Angreifer braucht keinen Login, kein Passwort, keine Nutzer-Interaktion. Er muss nur ein speziell präpariertes Netlogon-Paket an einen erreichbaren Domain Controller schicken.
Gelingt das, führt er beliebigen Code mit SYSTEM-Rechten aus — also der höchsten Stufe, die Windows kennt. Damit ist der Domain Controller übernommen, und über ihn praktisch das ganze Active Directory. Microsoft hat die Lücke mit einem CVSS-Score von 9.8 bewertet — fast das Maximum.
SCHOCK: „0-Click“ heißt, du merkst nichts
Forscher sprechen von einer Zero-Click-RCE: Es muss niemand auf einen Link klicken, niemand eine Datei öffnen. Der reine Netzwerkzugriff auf den verwundbaren Dienst genügt. Genau diese Kombination — keine Authentifizierung plus Komplettübernahme — macht die Lücke für Angreifer so attraktiv und für dich so brandgefährlich.
BETROFFEN: Praktisch jeder Windows-Server
Verwundbar sind alle Windows-Server, die als Domain Controller konfiguriert sind — und zwar über praktisch alle noch unterstützten Versionen hinweg, von Windows Server 2012 bis hin zum aktuellen Windows Server 2025. Microsoft hat den Fix bereits im Mai-Patchday 2026 verteilt. Wer den eingespielt hat, ist geschützt. Wer nicht, steht jetzt im Schussfeld.
SO PATCHST du richtig
1. Alle DCs im gleichen Wartungsfenster patchen. Sicherheitsforscher warnen ausdrücklich: Ein „halb gepatchter Wald“ ist kein verteidigbarer Zustand. Wenn ein Domain Controller offen bleibt, reicht das. Also alle gleichzeitig.
2. Patch-Stand prüfen. Kontrolliere über Get-Hotfix oder dein Patch-Management, ob das Mai-2026-Sicherheitsupdate wirklich installiert ist — nicht nur „heruntergeladen“.
3. Netlogon-Exposition einschränken. Domain-Controller-Dienste gehören niemals offen ins Internet. Prüfe Firewall-Regeln und Segmentierung, damit der Netlogon-Port nicht aus untrusted Netzen erreichbar ist.
4. Wenn du nicht sofort patchen kannst: Für Sonderfälle gibt es bereits inoffizielle Micropatches von Drittanbietern als Übergangslösung — der offizielle Microsoft-Fix bleibt aber der einzig saubere Weg.
FAZIT: Das ist kein „mach ich nächste Woche“
Eine unauthentifizierte 0-Click-RCE auf dem Herzstück deines Active Directory, die nachweislich ausgenutzt wird — dringlicher wird ein Sicherheitsfall kaum. Behörden stufen das als Top-Notfall ein. Spiele den Mai-Patch jetzt auf allen Domain Controllern ein, prüfe die Logs auf verdächtige Netlogon-Aktivität, und atme dann durch.
Häufige Fragen
Welche Systeme sind von CVE-2026-41089 betroffen?
Wie merke ich, ob mein Domain Controller verwundbar ist?
Wie behebe ich das Problem konkret?
Gab es schon aktive Angriffe?
Quellen: