Die Sicherheitslücke CVE-2026-41089 stellt eine unmittelbare Bedrohung dar. Netlogon ist ein kritischer RPC-Service (Remote Procedure Call) in Windows Server, der für die Authentifizierung von Benutzern und Diensten in domänenbasierten Netzwerken zuständig ist. Die Schwachstelle basiert auf einem Stack-Buffer-Overflow, der es einem Angreifer ermöglicht, eine speziell präparierte Netzwerkanfrage an einen Domänencontroller zu senden und damit beliebigen Code mit SYSTEM-Privilegien auszuführen.
Microsoft hatte die Lücke während des Mai-2026-Patch-Tuesday geschlossen, doch nun zeigt sich, dass Angreifer bereits Exploits entwickelt und in Angriffsszenarien eingesetzt haben. Das belgische CCB wies in einer Mitteilung ausdrücklich auf den kritischen CVSS-Score von 9,8 hin – eine der höchsten Bewertungen überhaupt. Besonders besorgniserregend ist die fehlende Notwendigkeit vorheriger Authentifizierung: Ein Angreifer aus dem Internet kann die Sicherheitslücke direkt ausnutzen.
Für deutsche IT-Administratoren ist sofortiges Handeln geboten. Alle Windows-Server-Instanzen, insbesondere Domänencontroller, müssen unverzüglich aktualisiert werden. Das BSI dürfte ähnlich wie das belgische CCB eine Warnung herausgeben – IT-Verantwortliche sollten entsprechende Kanäle monitoren. Unternehmen mit Domänenumgebungen sollten Patches priorisieren und dabei auch eventuell betroffene On-Premises-Infrastrukturen berücksichtigen.
Microsoft entdeckte die Lücke durch sein internes WARP-Team (Windows Attack Research & Protection). Interessanterweise hat Microsoft die Exploitation noch nicht öffentlich bestätigt, doch die Warnung des belgischen Zentrums dokumentiert die reale Bedrohung.
Der aktuelle Fall zeigt ein besorgniserregendes Muster: In den letzten Monaten wurden mehrere kritische Windows-Schwachstellen durch den Sicherheitsforscher ‚Nightmare Eclipse’ offengelegt, darunter BlueHammer und RedSun – alle wurden bereits ausgenutzt. Die häufung dieser Lücken verdeutlicht die Notwendigkeit eines aggressiven Patch-Management-Ansatzes.
Für deutsche Organisationen unter DSGVO-Verpflichtungen gilt: Eine erfolgreiche Exploitation mit Datenzugriff muss der Aufsichtsbehörde gemeldet werden. Das Bundesdatenschutzamt (BfDI) und die Landesdatenschutzbehörden können Bußgelder bis zu 4 Prozent des Jahresumsatzes verhängen. Ein Verzicht auf zeitnahe Patches ist aus compliance-Sicht fahrlässig.