Certighost: Der Angriff, der die Identität von Domain Controllern über AD CS stiehlt

Einleitung

Am 24. Juli 2026 veröffentlichten die Forscher H0j3n und Aniq Fakhrul einen funktionierenden Exploit namens Certighost, der die Active Directory-Zertifikatdienste (AD CS) von Microsoft angreift. Der Code nutzt die Schwachstelle CVE-2026-54121 aus, eine unzureichende Autorisierung mit einem CVSS-Wert von 8,8 (High), die es einem einfachen Domänenbenutzer ermöglicht, ein gültiges Zertifikat für einen Domain Controller zu erhalten. Sobald dies geschieht, ist die Kompromittierung der gesamten Active Directory-Gesamtstruktur nur noch eine Frage der Zeit.

Die Schwachstelle wurde am 14. Mai von Microsoft gemeldet, am 22. Mai bestätigt und mit den Updates vom 14. Juli 2026 behoben. Die Veröffentlichung des Proof-of-Concept nur zehn Tage nach der Patch-Bereitstellung erhöht nun exponentiell das Risiko für alle Organisationen, die die Korrekturen noch nicht angewendet haben.

Technische Analyse

Die Schwachstelle liegt im Chase-Fallbackmechanismus, den eine Unternehmens-Zertifizierungsstelle (CA) verwendet, wenn sie die Identität eines Objekts nicht selbstständig auflösen kann. Unter normalen Umständen fragt die CA den Domain Controller ab, um Informationen über den Antragsteller zu erhalten und zu entscheiden, ob das Zertifikat ausgestellt wird. Ein Angreifer kann jedoch einen gefälschten Domain Controller einrichten und die CA dazu bringen, seine bösartigen Dienste auf den Ports SMB (445) und LDAP (389) zu kontaktieren.

Für die Durchführung des Angriffs genügen:

• ein Domänenkonto ohne Berechtigungen,
• die Möglichkeit, ein Computerkonto zu erstellen (das Standardkontingent ms-DS-MachineAccountQuota beträgt 10) oder ein bereits kontrolliertes wiederzuverwenden,
• eine Unternehmens-CA, die die vordefinierte Vorlage Machine verwendet.

Der Exploit automatisiert die gesamte Kette: Er erstellt oder verwendet ein Computerkonto wieder, startet SMB- und LDAP-Listener, um einen Domain Controller zu imitieren, fängt die Authentifizierungsanforderung der CA ab und leitet sie über das Netlogon-Protokoll an den echten Domain Controller weiter. Auf diese Weise wird die Authentifizierungsherausforderung korrekt erfüllt, der Angreifer fügt jedoch manipulierte Attribute (cdc und rmd) in die Zertifikatsanforderung ein. Am Ende des Prozesses stellt die CA ein PFX-Zertifikat aus, das der Identität eines legitimen Domain Controllers entspricht.

Mit dem Zertifikat in der Hand führt der Angreifer die Kerberos-Authentifizierung über PKINIT durch und erhält einen Berechtigungscache für den Ziel-Domain Controller. An dieser Stelle kann er die Replikationsrechte ausnutzen, um einen DCSync-Angriff zu starten und das Geheimnis krbtgt zu extrahieren – das kryptografische Material, das die gesamte Domäne schützt.

Der von Microsoft am 14. Juli veröffentlichte Patch (anwendbar auf Windows Server 2012–2025 und Server Core-Editionen sowie Windows 10 Versionen 1607 und 1809) greift genau in die Funktion CRequestInstance::_ValidateChaseTargetIsDC in der Bibliothek certpdef.dll ein. Er blockiert buchstäbliche IP-Adressen, überlange Namen und LDAP-Metazeichen und überprüft, ob das von der CA kontaktierte Computerobjekt tatsächlich ein Domain Controller ist, indem er das Flag SERVER_TRUST_ACCOUNT (8192) und die SID-Übereinstimmung prüft.

Auswirkungen

Die Kompromittierung gewährt einem Benutzer ohne Berechtigungen die vollständige Kontrolle über die Domäne. Sobald der krbtgt-Hash über DCSync erlangt wurde, kann der Angreifer Golden Ticket fälschen – Kerberos-Tickets, die uneingeschränkten und dauerhaften Zugriff auf beliebige Ressourcen der Domäne ermöglichen, einschließlich der Möglichkeit zur lateralen Bewegung in andere vertrauenswürdige Domänen.

Zum Zeitpunkt der Veröffentlichung des PoC (24. Juli 2026) hatte Microsoft keine aktiven Ausnutzungen in freier Wildbahn beobachtet, aber bereits Testaktivitäten im Zusammenhang mit der Schwachstelle festgestellt. Die öffentliche Verfügbarkeit des Certighost-Exploits erhöht die Wahrscheinlichkeit realer Angriffe drastisch, insbesondere in Umgebungen, in denen die Patches noch nicht bereitgestellt wurden.

Gegenmaßnahmen

Die endgültige Lösung besteht darin, die von Microsoft am 14. Juli 2026 veröffentlichten Sicherheitsupdates sofort auf allen Servern mit der Zertifizierungsstellenrolle zu installieren. Für Umgebungen, die das Update nicht sofort durchführen können, bietet Microsoft einen temporären Workaround an, der den Chase-Mechanismus deaktiviert:

certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC
Restart-Service CertSvc -Force

Achtung: Diese Konfiguration kann legitime Registrierungsabläufe unterbrechen; es wird empfohlen, sie vor der Produktionseinführung im Labor zu testen und den Patch so bald wie möglich einzuspielen.

Parallel dazu ist es entscheidend, die Überwachung zu aktivieren:

• Aktivieren Sie die Zertifikatüberwachung (erfolgreiche und fehlgeschlagene Vorgänge) auf den AD CS-Servern.
• Überwachen Sie die Ereignisse 4886 und 4887 im Sicherheitsprotokoll, die verdächtige Zertifikatanforderungen und Ausstellungen für unerwartete Domain Controller-Identitäten aufzeichnen.
• Microsoft Defender generiert spezielle Warnungen wie Potential Certighost (CVE-2026-54121) AD CS abuse und Active Directory Certificate Services attack tool activity. Auch generische Signale (LDAP-Erkundung, anomale Kerberos-Tickets, DCSync-Versuche) können einen Angriff begleiten, sind aber nicht spezifisch.
• Die Verringerung des Standardkontingents für Computerkonten (ms-DS-MachineAccountQuota) kann die Fähigkeit des Angreifers einschränken, neue Objekte zu erstellen, verhindert jedoch nicht die Wiederverwendung bereits kompromittierter Konten.

FAQ

1. Was ist CVE-2026-54121 und warum ist sie so gefährlich?
CVE-2026-54121 ist eine Schwachstelle durch unzureichende Autorisierung in den Active Directory-Zertifikatdiensten (AD CS) von Microsoft. Sie ermöglicht einem Domänenbenutzer mit minimalen Berechtigungen, ein Zertifikat für einen Domain Controller zu erhalten und von dort aus mit Angriffen wie DCSync und Golden Ticket die vollständige Kontrolle über die Domäne zu erlangen.

2. Wie kann ich überprüfen, ob meine Infrastruktur anfällig ist?
Wenn Ihre Organisation eine Unternehmens-Zertifizierungsstelle mit der vordefinierten Vorlage Machine und aktivem Chase-Mechanismus verwendet und die Updates vom 14. Juli 2026 noch nicht installiert hat, ist das System gefährdet. Sie können das Vorhandensein der AD CS-Rolle und die Betriebssystemversion überprüfen: Alle Editionen von Windows Server 2012 bis 2025 sind betroffen. Die Verfügbarkeit des öffentlichen PoC macht die Überprüfung noch dringlicher.

3. Was kann ich tun, wenn ich den Patch nicht sofort installieren kann?
Sie können den Workaround anwenden, der Chase über den Befehl certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC deaktiviert (bitte testen, da legitime Ausstellungen blockiert werden könnten). Verstärken Sie gleichzeitig die Überwachung der Zertifikatsereignisse und alarmieren Sie das Sicherheitsteam bei verdächtigen Anforderungen für Domain Controller. Der Patch bleibt jedoch der einzige vollständige Schutz und sollte mit höchster Priorität eingeplant werden.