KerberLoss & ResetNightmare: Zwei Kerberos-Lücken bedrohen jedes Active Directory

Von Protokoll-Downgrade bis Domain-Admin-Übernahme – die Patches sind da, das Handeln liegt bei Ihnen

Auf der Black Hat 2026 präsentierte Shai Laron von Semperis zwei Schwachstellen im Herzen der Windows-Authentifizierung: KerberLoss (CVE-2026-25177) hebelt über unsichtbare Unicode-Zeichen die Eindeutigkeit von Service Principal Names aus, ResetNightmare (CVE-2026-27912) erlaubt es einem normalen Domänenbenutzer, das Kennwort eines Domain Admins zurückzusetzen. Beide betreffen Windows Server von 2012 bis 2025 – und beide sind bereits gepatcht. Wer die Updates verschlafen hat, sollte diesen Beitrag ernst nehmen.

⚡ Sofortmaßnahme: Stellen Sie sicher, dass auf allen Domain Controllern die Sicherheitsupdates von März 2026 (KerberLoss) und April 2026 (ResetNightmare) eingespielt sind. Verifizieren Sie die Build-Stände – nicht nur den WSUS-Status.

KerberLoss (CVE-2026-25177): Wenn unsichtbare Zeichen SPNs kapern

Die LDAP-Query-Engine des Domain Controllers filtert 279 von 385 Unicode-Zeichen nicht heraus. Über solche unsichtbaren Zeichen in einem Service Principal Name lässt sich die SPN-Eindeutigkeitsprüfung umgehen – zwei Objekte tragen scheinbar denselben SPN, ohne dass der DC Alarm schlägt. Daraus ergeben sich gleich mehrere Angriffspfade: ein Denial of Service gegen HOST-gemappte Dienste, SPN-Jacking im Kontext der Kerberos Constrained Delegation und – besonders unangenehm – ein Downgrade von Kerberos auf NTLM für praktisch jeden Dienst im Forest.

CVSS	8.8 (Hoch)
Voraussetzung	WriteSPN-Berechtigung auf einem Computer- oder Benutzerobjekt
Patch	10. März 2026

ResetNightmare (CVE-2026-27912): Der Passwort-Reset, den niemand autorisiert hat

ResetNightmare zielt auf das Kerberos Change-Password-Protokoll (RFC 3244). Der Angriff umgeht die TGS-REQ-Ebene, auf der Microsofts 2021er-Fix gegen „Dollar Ticket“ das PAC_REQUESTOR_SID validiert. Der Ablauf ist erschreckend simpel: Der Angreifer setzt den userPrincipalName seines eigenen Kontos auf den SamAccountName des Opfers, fordert ein Ticket an und schickt eine Change-Password-Anfrage – ohne dass irgendeine Berechtigungsprüfung greift. Das Ziel: das Kennwort eines Domain Admins.

Der eigentliche Skandal: Die nötige Voraussetzung – das userPrincipalName-Self-Write-Recht – ist für alle Domänenbenutzer standardmäßig aktiviert. Es braucht also keinerlei Sonderberechtigungen. Genau das hebt ResetNightmare von den meisten AD-Angriffen ab.

CVSS	8.0 (Hoch) · Vektor AV:A/AC:L/PR:L/UI:N
Voraussetzung	Normales Domänenkonto, benachbarter Netzwerkzugriff
Patch	14. April 2026 · PoC-Tool von Semperis öffentlich

Sind meine DCs schon versorgt?

Beide Lücken sind mit regulären Patchday-Updates abgedeckt (März bzw. April 2026). Prüfen Sie die tatsächlichen Build-Stände aller Domain Controller – ein grüner WSUS-Haken reicht nach den bekannten WSUS-Anzeigeproblemen nicht:

# Installierte Updates und Build-Stand aller DCs auslesen
$dc = (Get-ADDomainController -Filter *).HostName

Invoke-Command -ComputerName $dc -ScriptBlock {
    [PSCustomObject]@{
        DC    = $env:COMPUTERNAME
        Build = (Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').UBR
        LastHotfix = (Get-HotFix | Sort-Object InstalledOn -Descending |
                      Select-Object -First 1).HotFixID
    }
} | Format-Table -AutoSize

Was Sie jetzt tun sollten

Patch-Stand verifizieren: März- und April-2026-Updates auf allen DCs – per Build-Nummer, nicht per Konsolen-Häkchen.
WriteSPN-Rechte aufräumen: Prüfen Sie, wer SPNs auf Objekte schreiben darf – unnötige Delegationen sind der Nährboden für KerberLoss.
UPN-Änderungen überwachen: Auffällige userPrincipalName-Änderungen und Kerberos-Change-Password-Vorgänge (kpasswd) protokollieren und alarmieren.
NTLM zurückdrängen: KerberLoss zielt auf ein Kerberos-zu-NTLM-Downgrade – jede Reduktion der NTLM-Nutzung verkleinert die Angriffsfläche.
Tiering ernst nehmen: Domain-Admin-Konten gehören strikt vom Alltagsbetrieb getrennt, damit ein kompromittiertes Standardkonto nicht sofort zum Vollzugriff führt.

Fazit

KerberLoss und ResetNightmare führen einmal mehr vor Augen, dass Kerberos – obwohl über zwei Jahrzehnte alt – noch immer strukturelle Überraschungen bereithält. Besonders ResetNightmare ist ein Lehrstück: Eine standardmäßig für jeden Benutzer aktivierte Berechtigung wird zum Hebel für die komplette Domänen-Übernahme. Die Patches gibt es seit dem Frühjahr, doch erfahrungsgemäß hängen gerade Domain Controller in vielen Umgebungen dem Patch-Rhythmus hinterher. Nutzen Sie die Black-Hat-Aufmerksamkeit als Anlass, den tatsächlichen Stand zu verifizieren.

Wer riskante Delegationen, SPN-Anomalien und die Kerberos-Konfiguration seiner Domäne systematisch prüfen will, findet im ISW Kerberos Audit Analyzer das passende Werkzeug – und der AD Group Lifecycle Manager hilft, privilegierte Gruppen und Berechtigungen dauerhaft sauber zu halten.