Domain-Controller im Visier: Netlogon-RCE CVE-2026-41089 wird aktiv ausgenutzt

Es ist der Albtraum jedes Windows-Administrators: eine vorauthentifizierte Schwachstelle, die direkt im Herzen der Domäne sitzt. CVE-2026-41089 betrifft den Netlogon-Dienst von Windows Server und erlaubt es Angreifern, ohne Anmeldung beliebigen Code mit SYSTEM-Rechten auf einem Domain Controller auszuführen. Mehrere CERTs stufen die Lücke inzwischen als aktiv ausgenutzt ein.

Was genau ist betroffen?

Der Fehler steckt im Windows Netlogon Remote Protocol (MS-NRPC) – jenem Dienst, der Authentifizierung und Sicherheit innerhalb einer Windows-Domäne abwickelt. Technisch handelt es sich um einen stack-basierten Buffer Overflow: Der verwundbare Code-Pfad verarbeitet die Länge eines Feldes innerhalb einer präparierten Netlogon-RPC-Anfrage fehlerhaft. Wer den RPC-Endpunkt eines als Domain Controller konfigurierten Servers erreicht, kann eine fehlerhaft aufgebaute Nachricht senden, über die Grenzen des Stack-Puffers hinausschreiben und die Rücksprungadresse überschreiben – die Ausführung springt anschließend in vom Angreifer kontrollierte Bytes.

Microsoft bewertet die Schwachstelle mit einem CVSS-Score von 9.8 (kritisch). Betroffen sind laut Microsoft alle unterstützten Windows-Server-Versionen, die als Domain Controller arbeiten.

AD-Checkliste

Dein AD härten: 12 Sofortmaßnahmen

Das PDF mit Bordmitteln, PowerShell-Prüfbefehlen und 30-Tage-Reihenfolge – per Mail, sobald du deine Anmeldung zum Tech-&-Tacheles-Newsletter bestätigst.

E-Mail-Adresse *

Mit der Anmeldung erhältst du die AD-Checkliste als PDF und danach den Tech-&-Tacheles-Newsletter mit Einordnungen zu Security, KI und Crypto sowie gelegentlichen Hinweisen auf meine Bücher und Produktempfehlungen (auch Affiliate-Links) – eingetragen bist du erst nach Klick auf den Bestätigungslink in der E-Mail (Double-Opt-in). Abmeldung jederzeit über den Link in jeder E-Mail, Details in der Datenschutzerklärung.

Warum das so gefährlich ist

Der Domain Controller ist der zentrale Vertrauensanker einer Windows-Umgebung. Gelingt einem Angreifer die Codeausführung als Netlogon-Dienst, läuft sein Code in genau dem Prozess, der Kerberos-Tickets signiert und das krbtgt-Geheimnis hält. Alles Weitere – Malware ausrollen, Konten anlegen oder verändern, Sicherheitskontrollen deaktivieren und sich seitlich durch das Netz bewegen – wird damit zur reinen Formsache. Die Kompromittierung eines einzigen DC kann so die gesamte Forest-Struktur aushebeln.

Zeitlinie und Exploitation-Status

Microsoft hat die Lücke am 12. Mai 2026 im Rahmen des Mai-Patchday offengelegt und gepatcht. Bemerkenswert: In der eigenen Einschätzung stufte Microsoft die Ausnutzbarkeit zunächst als „Less Likely“ ein. Dem widersprach jedoch das belgische Centre for Cybersecurity Belgium (CCB), das Anfang Juni 2026 öffentlich warnte, die Lücke werde „nun aktiv in freier Wildbahn ausgenutzt“ und könne zu RCE führen. Gefunden und gemeldet wurde der Fehler ursprünglich vom Windows Attack Research & Protection (WARP)-Team von Microsoft.

Was Administratoren jetzt tun sollten

• Patchen, und zwar vollständig: Die Sicherheitsupdates aus dem Mai-Patchday auf allen Domain Controllern einspielen – idealerweise im selben Wartungsfenster. Ein halb gepatchter Forest ist bei einer vorauthentifizierten DC-Lücke kein verteidigungsfähiger Zustand.
• Exposition prüfen: Erreichbarkeit der RPC-Endpunkte und von TCP-Port 445 von nicht vertrauenswürdigen Netzen aus einschränken.
• Monitoring schärfen: Auf ungewöhnliche Netlogon-RPC-Anfragen und unerwartete Prozessaktivität auf DCs achten.
• Kompromittierung annehmen, wenn ungepatcht: Wer den Patch verzögert hat, sollte gezielt nach Anzeichen einer Kompromittierung suchen, statt auf Glück zu vertrauen.

Fazit

CVE-2026-41089 reiht sich in eine Serie kritischer Identitäts- und Authentifizierungslücken ein, die 2026 das Fundament von Windows-Netzwerken treffen. Die Diskrepanz zwischen Microsofts „Less Likely“ und der realen Ausnutzung zeigt einmal mehr: Bei vorauthentifizierten Domain-Controller-Bugs ist schnelles, flächendeckendes Patchen die einzig vernünftige Strategie.

Quellen

• Help Net Security: Windows Netlogon RCE exploited (CVE-2026-41089)
• BleepingComputer: Critical Windows Netlogon RCE flaw now exploited in attacks
• SecurityWeek: Critical Windows Netlogon Vulnerability in Attackers’ Crosshairs
• NVD: CVE-2026-41089
• Microsoft Security Update Guide: CVE-2026-41089