Zum Hauptinhalt springen
Bild aus dem CTI-Blog
Ein aufkommendes Thema

Kritische Netlogon-RCE-Sicherheitslücke auf Domänencontrollern (CVE-2026-41089)

Eine kritische, nicht authentifizierte Sicherheitslücke in Windows Netlogon (CVE-2026-41089, CVSS 9,8), die die Ausführung von Remote-Code ermöglicht, erlaubt es einem Angreifer, auf einem Domänencontroller Code mit SYSTEM-Rechten auszuführen. Installieren Sie auf allen Domänencontrollern im selben Wartungsfenster die Sicherheitsupdates vom „ Mai 2026 “.

Der „Patch Tuesday“ von Microsoft vom 12. Mai 2026, behob eine kritische Sicherheitslücke in Windows Netlogon (CVE-2026-41089), die die Ausführung von Remote-Code ermöglichte: einen stapelbasierten Pufferüberlauf (CWE-121) mit einem CVSS-Wert von 9,8, der intern vom Windows Attack Research & Protection (WARP)-Team von Microsoft entdeckt wurde. Microsoft stufte die Wahrscheinlichkeit einer Ausnutzung zum Zeitpunkt der Veröffentlichung als „gering“ ein.

Am 29. Mai 2026 warnte das Centre for Cybersecurity Belgium (CCB) auf , dass Angreifer die Sicherheitslücke „CVE-2026-41089 “ in der Praxis ausnutzten, und forderte dringend die sofortige Installation von Patches. Microsoft gibt an, keine Hinweise auf eine Ausnutzung dieser Schwachstelle zu haben, empfiehlt jedoch dennoch die Installation des Updates, und mehrere Anbieter berichten, dass öffentlich zugänglicher Proof-of-Concept-Code im Umlauf ist.

Worum es sich bei der Sicherheitslücke handelt

Netlogon ist der Windows-Dienst, der für die Authentifizierung innerhalb einer Domäne zuständig ist. CVE-2026-41089 ist ein stapelbasierter Pufferüberlauf, der darin besteht, wie der Netlogon-Dienst eine manipulierte Netzwerkanfrage verarbeitet: Eine fehlerhaft formatierte CLDAP-Anfrage an den UDP-Port 389 führt zu einem Überlauf eines Stapelpuffers fester Größe, während der Dienst seine Antwort erstellt. Der betroffene Code wird innerhalb des LSASS-Prozesses auf dem Domänencontroller ausgeführt. Daher kann ein nicht authentifizierter Angreifer, der über das Netzwerk auf den Dienst zugreifen kann, den Speicher manipulieren und unter bestimmten Umständen Code als SYSTEM-Konto ausführen – wodurch er faktisch die vollständige Identität des Domänencontrollers übernimmt –, was bis zu einer vollständigen Übernahme des Active Directory führen kann. Fehlgeschlagene Versuche führen häufig zum Absturz von LSASS und zum Neustart des Domänencontrollers, wodurch ein Denial-of-Service-Zustand für die Verzeichnisebene entsteht. In Anlehnung an das MITRE ATT&CK-Modell sind die entsprechenden Techniken T1190, T1210 und T1068.

Wichtige Fakten, die Sie beachten sollten

  • Vorabauthentifizierung und Netzwerkzugriff: Es sind weder Anmeldedaten noch lokaler Zugriff oder eine Benutzerinteraktion erforderlich.
  • Die exponierte Oberfläche besteht aus Windows Server-Domänencontrollern, die über das Netzwerk mittels des Netlogon-Dienstes (CLDAP, UDP/389) erreichbar sind.
  • Bei Erfolg wird Code auf SYSTEM-Ebene in LSASS ausgeführt; bei Fehlschlag stürzt LSASS in der Regel ab und der Domänencontroller wird neu gestartet.
  • Alle unterstützten Windows Server-Versionen, die als Domänencontroller konfiguriert sind, sind betroffen (Server 2012 bis 2025). Die Sicherheitsupdates von Microsoft gelten für unterstützte Versionen (Server 2012 und höher); ältere, nicht mehr unterstützte Versionen wie Server 2008 und R2 sind ebenfalls anfällig, erfordern jedoch Mikropatches von Drittanbietern (z. B. 0patch/Acros) anstelle offizieller Microsoft-Updates.

Wie Tanium Ihnen helfen kann

Tanium Comply: Comply führt Schwachstellenanalysen unter Verwendung der Tanium-Schwachstellenbibliothek durch und ordnet die ermittelten Schwachstellen den CVEs und CVSS-Werten zu. Führen Sie eine Bestandsaufnahme durch und filtern Sie die Ergebnisse nach „ CVE-2026-41089 “, um festzustellen, welche Systeme noch das Update „Mai 2026 “ benötigen; priorisieren Sie zunächst die Domänencontroller und anschließend den Rest der Windows Server-Umgebung. Bitte überprüfen Sie die Abdeckung dieser CVE durch die Bibliothek, da nicht jede CVE im Rahmen von Comply-Prüfungen erkannt werden kann.

Tanium-Patch-: Führen Sie Patches auf allen Domänencontrollern durch; eine unvollständige Patch-Installation führt zu einem ungeschützten Zustand, in dem Angreifer gezielt die Domänencontroller angreifen, die Sie noch nicht aktualisiert haben. Erstellen Sie eine Patch-Liste, die sich auf die „ Mai 2026 “-Updates für Ihre Windows Server-Versionen beschränkt, richten Sie diese auf Ihre Domänencontroller-Computergruppe aus und führen Sie die Bereitstellung in einem koordinierten Wartungsfenster durch. Installieren Sie das kumulative Sicherheitsupdate „ Mai 2026 “ für Ihre Windows Server-Versionen; für aktuelle Windows Server- und Windows 11 -Builds wurde dieses unter der Bezeichnung „KB5089549“ bereitgestellt (OS-Builds 26200,8457 und 26100,8457). Überprüfen Sie anhand des Microsoft-Sicherheitsupdate-Leitfadens für CVE-2026-41089 unter , ob für jede Betriebssystemversion der richtige KB-Artikel vorhanden ist, und führen Sie anschließend die „Comply“-Prüfung erneut durch, um sicherzustellen, dass der Befund behoben wurde.

Literaturverzeichnis