Microsoft hat mit den Patch-Tuesday-Updates vom Juli 2026 die Schwachstelle CVE-2026-54121 in Active Directory Certificate Services geschlossen. Der Fehler, den die Forscher H0j3n und Aniq Fakhrul unter dem Namen „Certighost“ beschrieben haben, ermöglicht es einem authentifizierten Angreifer unter bestimmten Voraussetzungen, sich gegenüber einer Windows-Domäne als Maschine auszugeben. Wird dabei ein Domänencontroller-Konto anvisiert, kann das in eine vollständige Domänenkompromittierung münden.

Microsoft beschreibt den Kern des Problems so: Ein authentifizierter Angreifer kann Attribute manipulieren, die mit einem Maschinenkonto verknüpft sind, und von Active Directory Certificate Services ein Zertifikat beziehen, das eine Authentifizierung als diese Maschine über PKINIT erlaubt. Falls ein Domänencontroller-Konto betroffen ist, kann sich der Angreifer laut Microsoft als dieser Domänencontroller anmelden und privilegierte Active-Directory-Operationen ausführen.

AD CS dient in Windows-Domänen als Public-Key-Infrastruktur und stellt Zertifikate für Authentifizierung und abgesicherte Kommunikation aus. Bei der zertifikatbasierten Anmeldung prüft der Domänencontroller, zu welchem Active-Directory-Konto ein Zertifikat gehört, und stellt anschließend Kerberos-Anmeldeinformationen aus. Genau in diesem Ablauf sitzt die von den Forschern analysierte Schwachstelle.

Betroffen ist ein optionaler Fallback-Mechanismus bei Zertifikatanforderungen, den die Forscher als „chase“ bezeichnen. Er verarbeitet zwei Werte in Zertifikatsanfragen: „cdc“ für den Server, den die Zertifizierungsstelle kontaktieren soll, und „rmd“ für das Konto, nach dem die Zertifizierungsstelle suchen soll. Sind beide Attribute gesetzt, verbindet sich die Zertifizierungsstelle mit dem in „cdc“ angegebenen Server und sucht dort nach dem in „rmd“ benannten Konto.

Das Problem: Nach Angaben der Forscher prüften die Systeme bislang nicht, ob der über den vom Angreifer kontrollierten Wert „cdc“ angegebene Server tatsächlich ein legitimer Domänencontroller ist. Dadurch konnte ein Angreifer gefälschte SMB-, LSA- und LDAP-Dienste betreiben, die Zertifizierungsstelle auf dieses kontrollierte System lenken und für ein angegriffenes Maschinenkonto falsche Verzeichnisinformationen zurückliefern.

In dem von H0j3n und Aniq Fakhrul demonstrierten Angriff legt ein Benutzer mit geringen Rechten zunächst ein Maschinenkonto an. Das ist in der Standardkonfiguration über „ms-DS-MachineAccountQuota“ erlaubt. Die Forscher betonen, dass ein auf diesem Weg erzeugtes Maschinenkonto ein gültiger Domänenprinzipal ist und deshalb die für die Zertifizierungsstelle nötigen Prüfungen bestehen kann, obwohl es nicht der imitierten Domänencontroller ist.

Anschließend wird eine Zertifikatsanforderung gestellt, die auf die präparierten Dienste zeigt und ein Domänencontroller-Konto als Ziel setzt. Weil die Zertifizierungsstelle den vom Angreifer kontrollierten Diensten vertraut, stellt sie ein Zertifikat aus, mit dem sich der Angreifer als Domänencontroller authentifizieren und Active-Directory-Operationen durchführen kann.

Der veröffentlichte Proof of Concept „certighost.py“ automatisiert diesen Ablauf. Laut den Forschern nutzt das Skript das ausgestellte Zertifikat, um sich per PKINIT als angezielter Domänencontroller anzumelden, speichert die resultierenden Kerberos-Anmeldeinformationen in einer „.ccache“-Datei und extrahiert den NT-Hash des Kontos. In ihrer Demonstration verwendeten die Forscher die gesicherten Kerberos-Daten anschließend mit Impackets Werkzeug „secretsdump“ für einen DCSync-Angriff, um die Zugangsdaten des Kontos „krbtgt“ abzurufen.

Microsoft hat die Lücke geschlossen, indem der „chase“-Ablauf nun zusätzlich validiert wird. Die Zertifizierungsstelle prüft jetzt, ob der im Attribut „cdc“ angegebene Server in Active Directory einem legitimen Domänencontroller zugeordnet ist, und bestätigt außerdem, dass die zurückgelieferte Identität zum erwarteten Konto passt.

Für Administratoren, die die Juli-Updates nicht einspielen können, nennen die Forscher das Abschalten des optionalen „chase“-Fallbacks als Ausweichmaßnahme. Zugleich weisen sie darauf hin, dass diese Maßnahme nur eine vorübergehende Abschwächung ist und in Produktivumgebungen nicht vollständig getestet wurde.