Die Schwachstelle steckt laut dem Quelltext in einem Einschreibungsverhalten von AD CS, das als „Chase“-Funktion bekannt ist. Kann eine Enterprise CA ein Zielobjekt nicht sofort lokal auflösen, darf sie anhand von vom Anfragenden gelieferten Routing-Informationen nachsehen, die über einen Parameter namens „cdc“ übergeben werden.

Das eigentliche Problem besteht darin, dass die Certification Authority nicht überprüft, ob der in „cdc“ angegebene Endpunkt tatsächlich ein legitimer Domain Controller ist. Ein Angreifer kann den Parameter stattdessen auf ein von ihm kontrolliertes System verweisen lassen. Die CA baut dann eine ausgehende Verbindung zu diesem manipulierten Endpunkt auf, der gefälschte Identitätsdaten zurückliefert, darunter die Objekt-Sicherheitskennung und den DNS-Hostnamen des anvisierten Domain Controllers.

Auf dieser Grundlage vertraut die CA den gelieferten Angaben, bindet die Identität an ein signiertes X.509-Zertifikat und stellt dem Angreifer damit ein Zertifikat aus, das ihn als Domain Controller ausweist. Im nächsten Schritt wird dieses Zertifikat mit PKINIT, der Public-Key-Erweiterung für Kerberos, verwendet, um ein Ticket Granting Ticket für das Maschinenkonto des Domain Controllers zu erhalten.

Von dort führt die Angriffskette laut Quelltext über bekannte Active-Directory-Mechanismen weiter. Domain-Controller-Konten besitzen von Haus aus Replikationsrechte im Verzeichnisdienst. Das reicht für einen DCSync-Vorgang gegen einen echten Domain Controller, um Anmeldeinformationen abzuziehen, bis hin zum Hash des Kontos „krbtgt“. Mit diesem Hash lassen sich Kerberos-Tickets fälschen.

Bemerkenswert ist, dass in den Tests bereits ein gewöhnliches Domänenkonto ausreichte. Als Grund nennt der Quelltext die Standardkonfiguration von Active Directory, insbesondere die voreingestellte MachineAccountQuota, die normalen Nutzern das Anlegen von Maschinenkonten erlaubt und damit die Voraussetzungen für diese Angriffskette schafft.

Microsoft hat den Patch am 14. Juli 2026 ausgeliefert. Laut Quelltext führt die Korrektur eine Zielvalidierung ein, die sicherstellen soll, dass das Ziel einer „Chase“-Abfrage tatsächlich ein Domain Controller ist. Falls sich das Update verzögert, haben die Forscher außerdem einen Workaround dokumentiert, der die anfällige „Chase“-Funktion deaktiviert. Der Quelltext weist allerdings darauf hin, dass diese Funktion legitime Einschreibungsabläufe unterstützt und ihr Abschalten diese Prozesse stören kann.

Als zusätzliche Maßnahmen nennt der Quelltext mehrere Härtungsschritte. Dazu gehört, die MachineAccountQuota der Domäne auf null zu setzen, um normalen Nutzern standardmäßig die Erstellung von Maschinenkonten zu entziehen. Außerdem sollten ausgehende SMB- und LDAP-Verbindungen von Certification Authorities auf bekannte und autorisierte Domain Controller beschränkt werden. Empfohlen werden zudem Überprüfungen von Enterprise-CA-Bereitstellungen, Zertifikatvorlagen und Einschreibungsrechten, insbesondere mit Blick darauf, welche Prinzipale bestimmte Zertifikate überhaupt anfordern dürfen.

Für die Erkennung rät der Quelltext zur Überwachung ungewöhnlicher Maschinenkonto-Erstellungen, auffälliger Zertifikatseinschreibungen und von DCSync-Vorgängen. Besonders DCSync von Systemen, die keine Domain Controller sind, sollte demnach sofortige Reaktionen auslösen. Ebenso sei es wichtig, CA-Ereignisse bei der Einschreibung zu beobachten, statt sich allein auf Telemetrie von Endpunkten zu verlassen.