August-2026-Patch-Tuesday: AD-Domänencontroller-RCE-Trio

August 2026 Patch Tuesday Active Directory Domänencontroller RCE-Cluster

Der August 2026 Patch Tuesday Active Directory Domänencontroller RCE-Cluster ist der Eintrag im von Microsoft am 11. August 2026 veröffentlichten Release, der Active-Directory-Administratoren mitten beim Scrollen innehalten lassen sollte: Microsofts August-2026-Patch-Tuesday behob rund 400 CVEs in der gesamten Produktpalette (BleepingComputer zählte 400 Schwachstellen und drei Zero-Days in diesem Release), darunter drei separate Remote-Code-Execution-Schwachstellen, je eine in Windows DNS Server, Active Directory Certificate Services (AD CS) und Active Directory Domain Services (AD DS) — den drei Rollen, die zusammen definieren, was ein Domänencontroller tut. Alle drei wurden von Microsoft am 11. August 2026 veröffentlicht.

Dieser Artikel hält sich an das, was Microsofts eigene Advisories und namhafte Sicherheitsmedien bislang veröffentlicht haben. Wo öffentliche Details tatsächlich dünn sind — und bei einer der drei Schwachstellen ist das der Fall — wird diese Lücke ausdrücklich benannt, statt sie zu füllen.

Zur verwandten Patch-Historie kritischer Domänencontroller-Schwachstellen siehe Zerologon (CVE-2020-1472)-Durchsetzung: Warum sie auf so vielen DCs noch fehlt und Certighost (CVE-2026-54121) AD CS: Nutzer mit geringen Rechten können einen Domänencontroller imitieren — die AD-CS-Schwachstelle vom Juli 2026, zu der sich die RCE-Schwachstelle in AD CS dieses Monats auf der Liste „jetzt die CA patchen" gesellt.

CVE-2026-62878 — Windows DNS Server RCE (CVSS 9.8, wurmfähig)

CVE-2026-62878 ist die schwerwiegendste der drei Schwachstellen. Es handelt sich um einen stapelbasierten Pufferüberlauf (CWE-121) im Windows DNS Server, der es einem nicht authentifizierten Remote-Angreifer ermöglicht, ohne Benutzerinteraktion Code über das Netzwerk auszuführen, indem ein speziell präpariertes Paket an einen betroffenen DNS-Dienst gesendet wird — CVSS-3.1-Basiswert 9,8 (windowsforum.com, cvefeed.io). Die Zero Day Initiative und mehrere Medien, die über das Release berichten, beschreiben die Schwachstelle als wurmfähig, das heißt, ein einziger kompromittierter DNS-Server könnte automatisch weitere kompromittieren, ohne dass ein Angreifer weiter eingreifen muss (Zero Day Initiatives August-2026-Security-Update-Review; SecurityAffairs).

⚠️

⚠️ Warnung: Microsoft stuft die Ausnutzung als „weniger wahrscheinlich" ein und gibt an, dass die Schwachstelle zum Zeitpunkt der Veröffentlichung am 11. August 2026 weder aktiv ausgenutzt noch öffentlich offengelegt wurde (windowsforum.com, SecurityAffairs). Das ist eine Momentaufnahme, keine Garantie — wurmfähige, nicht authentifizierte Schwachstellen mit CVSS 9,8 sind genau das Profil, das historisch gesehen in aktive Ausnutzung übergeht, sobald ein öffentlicher PoC verfügbar ist.

CVE-2026-62878 war nicht die einzige DNS-Server-RCE in diesem Zyklus. CrowdStrikes Analyse des August-2026-Patch-Tuesdays zählte insgesamt vier kritische RCE-Schwachstellen im Windows DNS Server — CVE-2026-62878 (9,8), CVE-2026-62817 (8,8), CVE-2026-62820 (8,1) und CVE-2026-65789 (8,1) — allesamt erreichbar durch das Senden präparierter Pakete an einen betroffenen DNS-Server, ohne dass eine Benutzerinteraktion erforderlich ist. Jeder DC mit installierter DNS-Server-Rolle benötigt alle davon, nicht nur die Haupt-CVE.

CVE-2026-62818 — Windows AD CS RCE (CVSS 8.8, Use-after-free)

CVE-2026-62818 ist eine kritische Remote-Code-Execution-Schwachstelle in Active Directory Certificate Services: ein Use-after-free-Fehler (CWE-416), den ein niedrig privilegierter, authentifizierter Remote-Angreifer über das Netzwerk ohne Benutzerinteraktion und mit geringer Angriffskomplexität auslösen kann — CVSS-3.1-Basiswert 8,8 (windowsforum.com). Anders als die DNS-Schwachstelle erfordert diese, dass der Angreifer bereits über ein niedrig privilegiertes Konto mit Netzwerkzugriff auf die CA verfügt — doch AD CS ist häufig die Vertrauensbasis der Domäne für zertifikatsbasierte Authentifizierung, Smartcards, VPN-Zugriff, internes TLS und Geräteidentität, weshalb ein Remote-Code-Execution-Fehler dort weit mehr Priorität verdient als eine routinemäßige Anweisung „Server patchen" (CrowdStrike).

Dies ist die zweite AD-CS-RCE-Schwachstelle, die domänencontroller-nahe Infrastruktur binnen zwei Patch-Zyklen trifft — siehe den Certighost-Beitrag zu CVE-2026-54121 vom Juli 2026, einem anderen Mechanismus (Impersonation über Enrollment-Fallback statt Use-after-free) auf derselben CA-Infrastruktur. Wenn Ihre Enterprise-CA den Juli-Patch noch nicht eingespielt hat, landet das August-CVE-2026-62818 auf derselben To-do-Liste — zur breiteren Angriffsfläche von Zertifikatsvorlagen jenseits beider CVEs siehe ADCS-Zertifikatsangriffe: Wie ESC1 bis ESC8 zu Domain Admin führen.

CVE-2026-49179 — Windows AD DS RCE (die mit noch dünnen öffentlichen Details)

CVE-2026-49179 ist eine Remote-Code-Execution-Schwachstelle in Windows Active Directory Domain Services, ebenfalls veröffentlicht am 11. August 2026 um 7:00 Uhr Pacific Time (windowsforum.com). Folgendes ist noch nicht öffentlich: Microsofts Advisory legt weder den Angriffspfad noch die betroffenen Windows-Server-Versionen, die Authentifizierungsanforderung oder einen CVSS-Basiswert fest. Microsoft hat nicht angegeben, ob die Schwachstelle vor der Authentifizierung ausnutzbar, über das Internet erreichbar, aktiv ausgenutzt wird oder eine vollständige Forest-Kompromittierung ermöglicht (windowsforum.com).

ℹ️

ℹ️ Hinweis: Dies ist eine echte Informationslücke, kein Versäumnis dieses Artikels. Behandeln Sie CVE-2026-49179 allein aufgrund der betroffenen Komponente als zwingend zu patchen — AD DS ist die Kernrolle des Domänencontrollers — und prüfen Sie den MSRC Security Update Guide direkt für Ihre spezifischen Server-Builds, bevor Sie einen Patch-Rollout-Plan finalisieren, da Advisory-Details manchmal erst nach der ersten Veröffentlichung ergänzt werden.

Erkennung: Worauf jetzt zu achten ist

Keine der drei CVEs verfügt bislang über einen öffentlichen Proof-of-Concept oder eine bestätigte Ausnutzung in freier Wildbahn, sodass der wertvollste „Erkennungs"-Hebel heute die Sichtbarkeit der Patch-Compliance ist, nicht die IOC-Jagd. Die folgende Tabelle enthält die allgemeinen Indikatoren, die relevant würden, sobald Ausnutzungsversuche beginnen.

Indikator	Signal	Quelle	Warum es hier wichtig ist
DNS-Server-Abstürze/Neustarts	Dienstabsturz-Einträge und unerwartete Kindprozesse, die von `dns.exe` gestartet werden	Windows-Ereignisprotokoll (Anwendung/System); Elastics Erkennungsregel „Unusual Child Process of dns.exe"	Ein stapelbasierter Pufferüberlauf wie CVE-2026-62878 lässt den Dienst wahrscheinlich abstürzen, bevor ein Exploit erfolgreich ist — wiederholte Abstürze oder Neustarts auf einem DC mit DNS-Rolle, oder dns.exe, das einen unerwarteten Kindprozess startet, rechtfertigen beide eine Untersuchung
Anomalien bei der Zertifikatsausstellung	Ereignis-ID 4886 (Anfrage erhalten), 4887 (ausgestellt), 4888 (verweigert)	Microsoft Learn: Audit Certification Services	CVE-2026-62818 erfordert eine Interaktion mit dem Anfrage-/Ausstellungspfad der CA; diese Ereignisse werden nur protokolliert, wenn die Certificate-Services-Überwachung auf der CA aktiviert ist
Patch-/Build-Compliance	WSUS-, Intune- oder SCCM-Update-Compliance-Status gegenüber dem kumulativen Update vom August 2026 für den genauen OS-Build jedes DCs	Herstellerseitiges Patch-Management-Tooling	Da der Angriffspfad von CVE-2026-49179 öffentlich nicht dokumentiert ist, ist das heute verlässlichste Signal zu wissen, welche DCs das Update noch nicht erhalten haben — alles, was nicht als konform gemeldet wird, sollte als exponiert behandelt werden

💡

💡 Tipp: Aktivieren Sie die Certificate-Services-Überwachung (auditpol /get /subcategory:"Certification Services"), bevor Sie sich auf die 4886/4887-Telemetrie verlassen — sie ist nicht in jeder AD-CS-Bereitstellung standardmäßig aktiviert.

# Inventarisierung, welche Server vor dem Patchen jede DC-kritische Rolle innehaben
Get-ADDomainController -Filter * | Select-Object Name, OperatingSystem, IPv4Address
Get-WindowsFeature -Name DNS, ADCS-Cert-Authority | Where-Object Installed

Behebung: Patch-Priorität für AD-Umgebungen

Patchen Sie zuerst DCs mit DNS-Server-Rolle. CVE-2026-62878 ist nicht authentifiziert, netzwerkerreichbar, wurmfähig und hat CVSS 9,8 — das Risikoprofil mit dem höchsten Risiko der drei. Beziehen Sie die drei anderen DNS-Server-RCEs dieses Zyklus (CVE-2026-62817, CVE-2026-62820, CVE-2026-65789) in dasselbe Update ein.
Patchen Sie als Nächstes die AD-CS-Zertifizierungsstellen. CVE-2026-62818 erfordert einen authentifizierten, niedrig privilegierten Angreifer, was die Dringlichkeit im Vergleich zur DNS-Schwachstelle etwas verringert, doch jede CA ist eine domänenweite Vertrauensbasis — behandeln Sie sie als kurzfristige, nicht als „nächstes Wartungsfenster"-Behebung. Für CA-Härtung über den Patch dieses Monats hinaus siehe Schwaches Zertifikatmapping in AD CS: Warum starke Bindung wichtig ist.
Patchen Sie jeden verbleibenden Domänencontroller für AD DS. Auch ohne öffentliche Angriffspfad-Details sitzt CVE-2026-49179 auf der Kernrolle des DC. Warten Sie nicht auf weitere Details, um zu patchen — nutzen Sie allein die Komponente als Begründung.
Inventarisieren Sie, bevor Sie patchen. Viele kleine und mittlere Umgebungen betreiben die Rollen DNS Server, AD-CS-CA und AD DS gemeinsam auf demselben Server — ein DC benötigt möglicherweise alle drei Fixes in einem einzigen Wartungsfenster. Der obige PowerShell-Ausschnitt ist ein Ausgangspunkt für dieses Inventar.
Wenn Sie DCs mit DNS-Rolle nicht sofort patchen können, beschränken Sie die eingehende DNS-Dienst-Exposition als Übergangslösung auf vertrauenswürdige Netzwerksegmente. Das reduziert die Exposition; es ersetzt nicht den Patch.
Validieren Sie nach dem Patchen. Bestätigen Sie, dass DNS-Auflösung, Zertifikatsregistrierung/Auto-Enrollment und AD-DS-Replikation nach dem Update noch normal funktionieren, bevor Sie das Wartungsfenster schließen.

🚨 Gefahr: Drei RCEs, die in einem Release auf der Rollenoberfläche des DC landen, sind kein Zufall, den man achselzuckend abtun sollte — DNS, AD CS und AD DS handhaben zusammen Namensauflösung, zertifikatsbasierte Authentifizierung und das Verzeichnis selbst. Ein einziger ungepatchter DC, der über einen dieser drei Dienste exponiert ist, ist ein realer Einstiegspunkt.

Wie EtcSec verwandte Risiken erkennt

Keine dieser drei CVEs ist selbst eine Fehlkonfiguration, die der Audit-Katalog von EtcSec markieren kann — sie sind fehlende-Patch-Zustände, und EtcSec auditiert Konfiguration und Privilegien-Exposition, nicht das Hotfix-Inventar. Was der Katalog aufzeigt, ist, wie viel Schaden eine DC-Kompromittierung über einen dieser Wege als Nächstes anrichten könnte: DCSync-fähige Berechtigungen identifizieren, welche Konten Verzeichnisgeheimnisse abziehen könnten, falls ein Angreifer über einen dieser RCE-Wege in einen Domänencontroller eindringt, und ADCS Weak Permissions markiert CA-seitige Härtungslücken unabhängig vom Patch dieses Monats — beide reduzieren den Explosionsradius, obwohl keiner CVE-2026-62878, CVE-2026-62818 oder CVE-2026-49179 direkt erkennt.

ℹ️

ℹ️ Hinweis: EtcSec prüft bei jedem AD-Audit automatisch auf DCSync-fähige Berechtigungen und ADCS-Fehlkonfigurationen. Führen Sie einen kostenlosen Audit durch, um die umfassendere Exposition Ihrer Umgebung zu überprüfen, während Sie den Patch-Status für alle drei August-2026-CVEs bestätigen.

August 2026 Patch Tuesday Active Directory Domaenencontroller RCE: 3 Schwachstellen, die Sie nicht aufschieben können