Certighost (CVE-2026-54121) ADCS-Lücke erklärt

Certighost CVE-2026-54121 ADCS (Active Directory Certificate Services) ist eine kritische Schwachstelle zur Rechteausweitung, die Microsoft im Juli 2026 mit seinen Sicherheitsupdates behoben hat. Ein funktionierender öffentlicher Proof-of-Concept wurde zehn Tage später, am 24. Juli 2026, veröffentlicht und machte aus einer gepatchten, aber wenig bekannten Lücke ein aktives operatives Risiko für jede Umgebung, die das Update noch nicht ausgerollt hat.

Dieser Artikel hält sich eng an das, was offizielle Advisories, Microsofts eigenes Threat-Intelligence-Konto und unabhängige Sicherheitsmedien veröffentlicht haben. Er reproduziert keinen Exploit-Code und erfindet keine technischen Details über das hinaus, was diese Quellen beschreiben.

Zur breiteren AD CS-Angriffsfläche siehe ADCS-Zertifikatangriffe: Wie ESC1 bis ESC8 zu Domain Admin führen. Certighost beruht auf einem anderen Mechanismus als die Probleme beim Zertifikat-Mapping, die in Schwaches Zertifikat-Mapping in AD CS: Warum starke Bindung wichtig ist behandelt werden — jener Artikel befasst sich damit, wie ein Zertifikat zum Zeitpunkt der Authentifizierung an ein Konto gebunden wird; Certighost befasst sich damit, welche Identitätsdaten die CA während der Registrierung selbst akzeptiert.

Was ist Certighost CVE-2026-54121 ADCS?

CVE-2026-54121 ist eine kritische Schwachstelle durch unzureichende Autorisierung (CWE-285) in AD CS mit einem CVSS-3.1-Score von 8.8. Microsofts eigenes Threat-Intelligence-Konto beschreibt sie als Schwachstelle zur Rechteausweitung, die es „einem authentifizierten Angreifer mit geringen Rechten und Netzwerkzugriff... ermöglicht, die Zertifikatregistrierung zu manipulieren, um einen Domänencontroller zu imitieren, was potenziell privilegierte Vorgänge und eine vollständige Domänenkompromittierung ermöglicht."

⚠️

⚠️ Warnung: Für die Ausnutzung sind weder administrative Rechte noch Benutzerinteraktion erforderlich — lediglich Netzwerkzugriff auf eine Enterprise-CA und ein gültiges Domänenkonto mit geringen Rechten.

Die Sicherheitsforscher H0j3n und Aniq Fakhrul meldeten die zugrunde liegende Lücke am 14. Mai 2026 an Microsoft. Microsoft bestätigte sie am 22. Mai, lieferte mit den Sicherheitsupdates vom 14. Juli 2026 einen Fix, und die Forscher veröffentlichten am 24. Juli die vollständigen technischen Details sowie ein funktionierendes Exploit-Tool und nannten es „Certighost".

Die Lücke betrifft Enterprise-Certification-Authority-Bereitstellungen über eine breite Versionsspanne hinweg: von Windows Server 2012 bis Server 2025 (einschließlich Server-Core-Editionen) sowie Windows 10 Version 1607 und 1809.

Wie die Schwachstelle funktioniert

Laut öffentlicher Berichterstattung mehrerer Medien, die über die Offenlegung der Forscher berichteten, ist der verwundbare Pfad ein Enrollment-Fallback-Mechanismus in AD CS namens „Chase", der bei der Auflösung von Verzeichnisobjekten verwendet wird. Durch Angabe von Anfrageattributen wie cdc kann ein Angreifer die Zertifizierungsstelle dazu bringen, einen von ihm kontrollierten Host nach Identitätsdaten abzufragen, von denen die CA annimmt, dass sie zu einem Domänencontroller gehören. Die CA verwendet diese vom Angreifer gelieferten Daten dann bei der Ausstellung des Zertifikats — sodass der Anforderer effektiv bestimmt, welche Identität das ausgestellte Zertifikat repräsentiert.

Öffentliche Berichte beschreiben den praktischen Ausnutzungspfad als das Bereitstellen betrügerischer LDAP- und SMB/LSA-Listener, um die Enrollment-Abfrage abzufangen, wodurch das Konto des Angreifers mit geringen Rechten am Ende ein Zertifikat besitzt, das einen DC imitiert. Von dort aus beschreiben Berichte, dass der Angreifer dieses Zertifikat für eine PKINIT-Authentifizierung nutzt und NT-Hashes extrahiert.

ℹ️

ℹ️ Hinweis: EtcSec hat diese Kette nicht unabhängig nachgestellt. Der oben beschriebene Mechanismus spiegelt wider, was Microsoft Threat Intelligence sowie unabhängige Forscher/Medien (BleepingComputer, Help Net Security, SOCPrime, IT-Connect) veröffentlicht haben; betrachten Sie das genaue Verhalten auf Attributebene als „laut öffentlicher Berichterstattung" und nicht als unabhängig verifiziert.

Auswirkungen im Falle einer Ausnutzung

Mehrere Medien, die die Patch-Tuesday-Welle vom Juli 2026 verfolgen, beschreiben die praktische Auswirkung als direkten Weg von einem Domänenzugriff mit geringen Rechten zu einer vollständigen Domänenkompromittierung: Ein Angreifer, der ein DC-imitierendes Zertifikat erhält, ist in der Lage, eine DCSync-artige Verzeichnisreplikation durchzuführen und von dort aus das Schlüsselmaterial des krbtgt-Kontos zu extrahieren, um Kerberos-Tickets zu fälschen.

Diese Eskalationskette berührt zwei Fähigkeiten, die bereits im EtcSec-Katalog vorhanden sind, auch wenn der spezifische Enrollment-Fallback-Mechanismus von Certighost noch keinen eigenen Detektor hat:

DCSync-Fähigkeit — der praktische Endzustand, sobald ein Angreifer DC-äquivalente Anmeldeinformationen besitzt, ist derselbe Missbrauch von Replikationsrechten, den diese Prüfung erkennt.
Golden-Ticket-Risiko — öffentliche Berichte verknüpfen eine erfolgreiche Certighost-Ausnutzung mit einer nachfolgenden, auf krbtgt basierenden Ticket-Fälschung, sobald eine Verzeichnisreplikation möglich ist.

ℹ️

ℹ️ Hinweis: Keine Schwachstellenprüfung im EtcSec-Katalog zielt derzeit auf den AD CS-Enrollment-Fallback-Mechanismus „Chase" (EDITF_ENABLECHASECLIENTDC) selbst ab. Dies ist eine echte Lücke im Katalog, die durch diese CVE aufgedeckt wurde — separat für die Detection-Roadmap vermerkt, statt einer bestehenden Prüfung zugeordnet zu werden, die die tatsächliche Abdeckung überzeichnen würde.

Erkennung

Indikator	Ereignis-ID	Quelle	Beschreibung
Zertifikatanforderung / -ausstellung	4886 / 4887	AD CS CA-Sicherheitsprotokoll	Anomale Zertifikatausstellungsaktivität im Zusammenhang mit Certighost-Missbrauch; erfordert aktivierte Certificate-Services-Überwachung
Verbindungsaktivität betrügerischer Listener	5154 / 5156	Domänencontroller- / Host-Firewall-Protokoll	Verbindungsereignisse, die durch vom Angreifer kontrollierte LDAP/SMB/LSA-Listener während der Ausnutzung ausgelöst werden können
Certighost-spezifische Warnung	—	Microsoft Defender	Berichte beschreiben einen Defender-Warntext: „Potential Certighost (CVE-2026-54121) AD CS abuse"

💡

💡 Tipp: Aktivieren Sie die Certificate-Services-Überwachung auf jeder Enterprise-CA, bevor Sie sich auf die 4886/4887-Telemetrie verlassen — sie ist nicht in jeder Bereitstellung standardmäßig aktiviert.

Behebung

Zuerst patchen. Wenden Sie das Sicherheitsupdate vom 14. Juli 2026 auf jeden Server mit einer CA-nahen Rolle an: Certification Authority, Certificate Enrollment Web Service, Certificate Enrollment Policy Web Service, Network Device Enrollment Service oder Web Enrollment. Öffentliche Bereitstellungsempfehlungen raten dazu, internetzugängliche oder breit netzwerkzugängliche Enrollment-Infrastruktur sowie online ausstellende CAs zuerst zu patchen.
Vorübergehende Abhilfe, falls Sie nicht sofort patchen können. Öffentliche Empfehlungen beschreiben das Deaktivieren des verwundbaren Chase-Fallbacks mit certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC auf der CA.

🚨 Gefahr: Dies ist eine Abhilfemaßnahme, kein Ersatz für den Patch. Wird EDITF_ENABLECHASECLIENTDC wieder aktiviert — oder wird die CA ohne diese Einstellung neu aufgebaut — auf einer ungepatchten CA, ist die Schwachstelle erneut ausnutzbar.
Nach dem Patchen validieren. Bestätigen Sie, dass Enrollment, Auto-Enrollment, Veröffentlichung von Sperrlisten, Smartcard-Authentifizierung, Network-Policy-Server-Workflows (NPS/RADIUS) und alle zertifikatsgestützten Anwendungen nach dem Update weiterhin normal funktionieren — der Fix ändert den CA-seitigen Anfragepfad, indem das angegebene cdc-Ziel gegen Active Directory validiert wird und ein Validierungsschritt zum Principal-Ladepfad hinzugefügt wird.

# Bestätigen, dass die Certificate-Services-Überwachung aktiviert ist, bevor man sich auf die 4886/4887-Telemetrie verlässt
auditpol /get /subcategory:"Certification Services"

Warum das jetzt wichtig ist

Die Lücke zwischen Patch (14. Juli) und öffentlichem PoC (24. Juli) betrug zehn Tage — kurz genug, dass viele Organisationen noch mitten im Rollout waren, als funktionierender Exploit-Code öffentlich wurde. Jede Active-Directory-Umgebung mit einer Enterprise-CA auf den betroffenen Windows-Server-Versionen sollte dies als aktives, nicht theoretisches Risiko betrachten, bis das Juli-2026-Update auf jedem CA-nahen Server bestätigt installiert ist.

Wie EtcSec verwandte Exposition erkennt

Die AD CS-Prüfungen von EtcSec erkennen bereits verwandte Exposition: DCSync-fähige Berechtigungen, Golden-Ticket-Risikoindikatoren sowie Template-Fehlkonfigurationen ESC1/ESC4/ESC6/ESC8, die in unserem ADCS-Zertifikatangriffe-Leitfaden behandelt werden. Eine dedizierte Prüfung für den Enrollment-Fallback-Mechanismus von Certighost selbst befindet sich noch nicht im Katalog — der Patch-Status und die vorübergehende EDITF_ENABLECHASECLIENTDC-Abhilfe sind die konkreten Maßnahmen, die heute zu ergreifen sind, noch vor jeder toolbasierten Erkennung.

ℹ️

ℹ️ Hinweis: EtcSec prüft bei jedem AD-Audit automatisch auf DCSync-fähige Berechtigungen und Kerberos-Ticket-Fälschungsrisiken. Führen Sie ein kostenloses Audit durch, um die breitere Exposition Ihrer Umgebung zu überprüfen, während Sie den Patch-Status von CVE-2026-54121 validieren.

Certighost CVE-2026-54121 ADCS: Nutzer mit geringen Rechten können einen Domänencontroller imitieren