Certighost (CVE-2026-54121): Ein Standard-Domänenkonto genügt zur Domänen-Übernahme

AD-CS-Schwachstelle mit CVSS 8.8 – PoC ist öffentlich, gepatcht seit dem 14. Juli 2026

Die als Certighost getaufte Lücke CVE-2026-54121 in den Active Directory Certificate Services (AD CS) erlaubt einem Angreifer mit nichts weiter als einem gewöhnlichen Domänenkonto, sich gegenüber der Zertifizierungsstelle als Domain Controller auszugeben – und damit die komplette Domäne zu übernehmen. Microsoft hat den Fehler am 14. Juli 2026 gepatcht, seit dem 27. Juli kursiert ein funktionierender Proof-of-Concept. Wer seine CA noch nicht aktualisiert hat, sollte diesen Beitrag als Weckruf verstehen.

⚡ Sofortmaßnahme: Spielen Sie die Microsoft-Sicherheitsupdates von Juli 2026 auf allen Servern mit der AD-CS-Rolle ein. Können Sie kurzfristig nicht patchen, deaktivieren Sie das anfällige „Chase Client DC“-Verhalten per Registry (siehe unten) und starten Sie den Zertifikatsdienst neu.

Warum AD CS so ein dankbares Ziel ist

Die Zertifizierungsstelle ist in vielen Domänen der stille Vertrauensanker: Wer sie kontrolliert, kann sich Zertifikate für beliebige Identitäten ausstellen – auch für einen Domain Controller. Genau da setzt Certighost an. Der Fehler steckt in einer zweiten Verzeichnisabfrage, die die CA in Cross-Domain-Szenarien durchführt (dem sogenannten „Chase“). Über zwei manipulierbare Attribute in der Zertifikatsanfrage lenkt der Angreifer diese Abfrage auf einen von ihm kontrollierten Host:

Attribut	Wirkung
`cdc` (Client DC)	Bestimmt, welchen Host die CA für die „Chase“-Abfrage kontaktiert
`rmd` (Remote Domain)	Definiert den zu suchenden Principal

Der vom Angreifer kontrollierte „Chase“-Host liefert der CA gefälschte Identitätsdaten. Ein simples Maschinenkonto erfüllt anschließend die Authentifizierungsprüfung der CA, obwohl es nicht der echte Domain Controller ist. Das Ergebnis: ein CA-signiertes Zertifikat, das auf den DC ausgestellt ist. Damit meldet sich der Angreifer per PKINIT als Domain Controller an, führt einen DCSync durch und zieht sich das krbtgt-Geheimnis – ab da gehört ihm die Domäne.

Kurz gesagt: Keine Adminrechte, keine Benutzerinteraktion – ein x-beliebiges Domänenkonto und Netzwerkzugriff reichen. Genau das macht Certighost so gefährlich: Die Einstiegshürde ist praktisch null.

Die Eckdaten

CVE / Name	CVE-2026-54121 „Certighost“
Komponente	Active Directory Certificate Services (AD CS)
Typ / CVSS	Elevation of Privilege · 8.8 (Hoch)
Voraussetzung	Gültiges Domänenkonto + Netzwerkzugriff
Betroffen	Windows 10 und Windows Server ab 2012 mit AD-CS-Rolle
Entdecker	Aniq Fakhrul & Muhammad Ali (gemeldet Mai 2026)
Patch / PoC	Patch 14. Juli 2026 · öffentlicher PoC seit 27. Juli 2026

Übergangs-Mitigation ohne Patch

Wer die CA nicht sofort patchen kann, deaktiviert das ausnutzbare „Chase“-Verhalten und startet den Dienst neu. Wichtig: Das ist eine Notlösung – das Sicherheitsupdate bleibt Pflicht.

# Auf dem CA-Server: "Chase Client DC" abschalten
certutil -setreg policy\EditFlags -EDITF_ENABLECHASECLIENTDC

# Zertifikatsdienst neu starten
Restart-Service CertSvc -Force

Was Sie jetzt tun sollten

CA-Server identifizieren: Verschaffen Sie sich einen Überblick, wo die AD-CS-Rolle überhaupt läuft – oft sind es mehr Server als gedacht (Enterprise-CA plus Sub-CAs).
Juli-Updates einspielen: Auf allen CA-Servern, anschließend Neustart und Build-Kontrolle.
Zertifikatsausstellungen prüfen: Kontrollieren Sie das CA-Ausstellungsprotokoll auf verdächtige Zertifikate, die auf DC-/Maschinenidentitäten lauten.
krbtgt rotieren: Bei Verdacht auf Kompromittierung das krbtgt-Kennwort (zweimalig, mit Abstand) zurücksetzen.
AD-CS-Härtung als Dauerthema: Vorlagen mit gefährlichen Enrollment-Flags aufräumen, CA-Berechtigungen minimieren, Ausstellungen überwachen.

Fazit

Certighost reiht sich in die inzwischen lange Liste der AD-CS-Angriffspfade ein – und ist einer der bequemsten: kein Vorwissen, keine Sonderrechte, ein öffentlicher PoC. Die Kombination aus „jeder Domänennutzer kann es“ und „Ergebnis ist Domain-Admin“ gehört zum Gefährlichsten, was ein AD zu bieten hat. Das Julipatch schließt die Lücke, aber die eigentliche Lehre ist grundsätzlicher: Die Zertifizierungsstelle verdient dieselbe Aufmerksamkeit wie ein Domain Controller.

Wer den Überblick über ausgestellte Zertifikate, Vorlagen und riskante Enrollment-Rechte behalten will, ist mit dem ISW Certificate Inventory Manager gut bedient – und der CA Operations Manager hilft, die CA selbst sauber zu betreiben und Ausstellungen im Blick zu behalten.