Zum Hauptinhalt springen
CTI Blog-Bild
Aufstrebendes Problem

Kritisches Netlogon RCE auf Domänencontrollern (CVE-2026-41089)

Eine kritische, nicht authentifizierte Schwachstelle bei der Ausführung von Remote-Codes in Windows Netlogon (CVE-2026-41089, CVSS 9,8) lässt einen Remote-Angreifer Code als SYSTEM auf einem Domänencontroller ausführen. Patchen Sie alle Domänencontroller im gleichen Wartungsfenster mit den Mai 2026 Sicherheitsaktualisierungen.

Der Patch 12. Mai 2026 Tuesday von Microsoft behebt einen kritischen Fehler bei der Ausführung von Remote-Codes in Windows Netlogon (CVE-2026-41089): einen stapelbasierten Pufferüberlauf (Stack-Based Buffer Overflow, CWE-121) mit einem CVSS-Score von 9,8, der intern vom Windows Attack Research & Protection (WARP)-Team von Microsoft entdeckt wurde. Microsoft bewertete es mit „Weniger wahrscheinlich“, dass es bei der Veröffentlichung ausgenutzt wird.

Am warnte 29. Mai 2026das Centre for Cybersecurity Belgium (CCB), dass Angreifer CVE-2026-41089 in der Wildnis ausnutzen und drängten auf sofortiges Patching. Microsoft sagt, dass es keine Hinweise auf eine Ausnutzung gibt, empfiehlt aber dennoch die Anwendung des Updates, und mehrere Anbieter berichten, dass der öffentliche Proof-of-Concept-Code zirkuliert.

Was die Schwachstelle ist

Netlogon ist der Windows-Dienst, der für die Authentifizierung innerhalb einer Domain verantwortlich ist. CVE-2026-41089 ist ein stapelbasierter Pufferüberlauf in der Art und Weise, wie der Netlogon-Dienst eine bearbeitete Netzwerkanforderung verarbeitet: Eine fehlerhafte CLDAP-Anforderung an UDP-Port 389 überläuft einen Stapelpuffer fester Größe, während der Dienst seine Antwort erstellt. Der betroffene Code läuft innerhalb des LSASS-Prozesses auf dem Domänencontroller, sodass ein nicht authentifizierter Angreifer, der den Dienst über das Netzwerk erreichen kann, den Speicher beschädigen und unter den richtigen Bedingungen Code als SYSTEM-Konto ausführen kann, wodurch die vollständige Identität des Domänencontrollers effektiv übernommen wird, bis zur vollständigen Active Directory-Übernahme. Fehlversuche stürzen häufig LSASS ab und starten den Domänencontroller neu, wodurch eine Denial-of-Service-Bedingung für die Verzeichnisebene erstellt wird. Die relevanten Techniken sind MITRE ATT&CK zugeordnet und lauten T1190, T1210 und T1068.

Wichtige Fakten, die Sie beachten sollten

  • Vor-Authentifizierung und Netzwerk erreichbar: keine Zugangsdaten, lokaler Zugriff oder Benutzerinteraktion erforderlich.
  • Die exponierte Oberfläche sind Windows Server-Domänencontroller, die über das Netzwerk über den Netlogon-Dienst (CLDAP, UDP/389) erreichbar sind.
  • Erfolg führt zur Codeausführung auf SYSTEM-Ebene in LSASS; Fehler stürzt häufig LSASS ab und startet den Domänencontroller neu.
  • Alle unterstützten Windows Server-Versionen, die als Domänencontroller konfiguriert sind, sind betroffen (Server 2012 bis 2025). Die Sicherheitsupdates von Microsoft decken unterstützte Versionen (Server 2012 und höher) ab; ältere nicht unterstützte Versionen wie Server 2008 R2 sind ebenfalls anfällig, verlassen sich jedoch auf Micropatches von Drittanbietern (z. B. 0patch/Acros) und nicht auf offizielle Microsoft-Updates.

Wie Tanium helfen kann

Tanium Comply: Comply führt Schwachstellenbewertungen mithilfe der Tanium Vulnerability Library durch und ordnet Erkennungen CVEs und CVSS-Scores zu. Führen Sie eine Bewertung aus und filtern Sie die Ergebnisse für CVE-2026-41089 , um zu sehen, welche Systeme noch Mai 2026 aktualisiert werden müssen; priorisieren Sie zuerst Domänencontroller, dann den Rest der Windows Server-Flotte. Bestätigen Sie die Bibliotheksabdeckung für diese CVE, da nicht jede CVE über Comply-Bewertungen nachweisbar ist.

Tanium Patch: Patchen Sie alle Domain-Controller zusammen; partielles Patching verlässt einen nicht vertretbaren Zustand, in dem Angreifer auf die Domain-Controller abzielen, die Sie nicht erreicht haben. Erstellen Sie eine Patchliste, die auf die Mai 2026 Updates für Ihre Windows Server-Versionen ausgerichtet ist, richten Sie sich an Ihre Domain Controller-Computergruppe und stellen Sie sie in einem koordinierten Wartungsfenster bereit. Wenden Sie das Mai 2026 kumulative Sicherheitsupdate für Ihre Windows Server-Versionen an; für aktuellen Windows Server und Windows 11 erstellt dieses als KB5089549 (OS Builds 26200,8457 und 26100,8457). Bestätigen Sie die richtige KB für jeden Betriebssystemaufbau anhand des Microsoft Security Update Guide für CVE-2026-41089 und führen Sie dann die Comply-Bewertung erneut aus, um zu bestätigen, dass der Befund gelöscht wurde.

Referenzen