Es ist der Albtraum jedes Windows-Administrators: eine vorauthentifizierte Schwachstelle, die direkt im Herzen der Domäne sitzt. CVE-2026-41089 betrifft den Netlogon-Dienst von Windows Server und erlaubt es Angreifern, ohne Anmeldung beliebigen Code mit SYSTEM-Rechten auf einem Domain Controller auszuführen. Mehrere CERTs stufen die Lücke inzwischen als aktiv ausgenutzt ein.
Was genau ist betroffen?
Der Fehler steckt im Windows Netlogon Remote Protocol (MS-NRPC) – jenem Dienst, der Authentifizierung und Sicherheit innerhalb einer Windows-Domäne abwickelt. Technisch handelt es sich um einen stack-basierten Buffer Overflow: Der verwundbare Code-Pfad verarbeitet die Länge eines Feldes innerhalb einer präparierten Netlogon-RPC-Anfrage fehlerhaft. Wer den RPC-Endpunkt eines als Domain Controller konfigurierten Servers erreicht, kann eine fehlerhaft aufgebaute Nachricht senden, über die Grenzen des Stack-Puffers hinausschreiben und die Rücksprungadresse überschreiben – die Ausführung springt anschließend in vom Angreifer kontrollierte Bytes.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Microsoft bewertet die Schwachstelle mit einem CVSS-Score von 9.8 (kritisch). Betroffen sind laut Microsoft alle unterstützten Windows-Server-Versionen, die als Domain Controller arbeiten.
Warum das so gefährlich ist
Der Domain Controller ist der zentrale Vertrauensanker einer Windows-Umgebung. Gelingt einem Angreifer die Codeausführung als Netlogon-Dienst, läuft sein Code in genau dem Prozess, der Kerberos-Tickets signiert und das krbtgt-Geheimnis hält. Alles Weitere – Malware ausrollen, Konten anlegen oder verändern, Sicherheitskontrollen deaktivieren und sich seitlich durch das Netz bewegen – wird damit zur reinen Formsache. Die Kompromittierung eines einzigen DC kann so die gesamte Forest-Struktur aushebeln.
Zeitlinie und Exploitation-Status
Microsoft hat die Lücke am 12. Mai 2026 im Rahmen des Mai-Patchday offengelegt und gepatcht. Bemerkenswert: In der eigenen Einschätzung stufte Microsoft die Ausnutzbarkeit zunächst als „Less Likely“ ein. Dem widersprach jedoch das belgische Centre for Cybersecurity Belgium (CCB), das Anfang Juni 2026 öffentlich warnte, die Lücke werde „nun aktiv in freier Wildbahn ausgenutzt“ und könne zu RCE führen. Gefunden und gemeldet wurde der Fehler ursprünglich vom Windows Attack Research & Protection (WARP)-Team von Microsoft.
Was Administratoren jetzt tun sollten
- Patchen, und zwar vollständig: Die Sicherheitsupdates aus dem Mai-Patchday auf allen Domain Controllern einspielen – idealerweise im selben Wartungsfenster. Ein halb gepatchter Forest ist bei einer vorauthentifizierten DC-Lücke kein verteidigungsfähiger Zustand.
- Exposition prüfen: Erreichbarkeit der RPC-Endpunkte und von TCP-Port 445 von nicht vertrauenswürdigen Netzen aus einschränken.
- Monitoring schärfen: Auf ungewöhnliche Netlogon-RPC-Anfragen und unerwartete Prozessaktivität auf DCs achten.
- Kompromittierung annehmen, wenn ungepatcht: Wer den Patch verzögert hat, sollte gezielt nach Anzeichen einer Kompromittierung suchen, statt auf Glück zu vertrauen.
Fazit
CVE-2026-41089 reiht sich in eine Serie kritischer Identitäts- und Authentifizierungslücken ein, die 2026 das Fundament von Windows-Netzwerken treffen. Die Diskrepanz zwischen Microsofts „Less Likely“ und der realen Ausnutzung zeigt einmal mehr: Bei vorauthentifizierten Domain-Controller-Bugs ist schnelles, flächendeckendes Patchen die einzig vernünftige Strategie.
Quellen
- Help Net Security: Windows Netlogon RCE exploited (CVE-2026-41089)
- BleepingComputer: Critical Windows Netlogon RCE flaw now exploited in attacks
- SecurityWeek: Critical Windows Netlogon Vulnerability in Attackers’ Crosshairs
- NVD: CVE-2026-41089
- Microsoft Security Update Guide: CVE-2026-41089
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden