Vom Domänenbenutzer zu SYSTEM: Kerberos-Lücke CVE-2026-62766
Zwischen 421 Schwachstellen im August-Patchday geht schnell unter, welche davon den eigenen Angriffspfad verkürzt. CVE-2026-62766 ist eine solche: eine Elevation of Privilege in Windows Kerberos, bei der ein erfolgreicher Angriff in SYSTEM-Rechten endet.
Kerberos-Lücken sind selten spektakulär beschrieben. Sie sind gefährlich, weil sie eine Stufe überspringen, die in jeder Angriffskette teuer ist: den Weg vom normalen Konto zum privilegierten Kontext.
Die Lücke im Überblick
| Merkmal | Ausprägung |
|---|---|
| CVE-ID | CVE-2026-62766 |
| Komponente | Windows Kerberos |
| Typ | Elevation of Privilege |
| Ergebnis bei erfolgreicher Ausnutzung | SYSTEM-Rechte auf dem betroffenen System |
| Einstufung | IMPORTANT – im Kontext einer Angriffskette dennoch hoch relevant |
| Behebung | Security Update aus dem Release vom 11. August 2026 |
Microsoft meldet für diese CVE weder eine öffentliche Vorabveröffentlichung noch eine Ausnutzung in freier Wildbahn. Das ist die gute Nachricht. Die schlechte: Rechteausweitungen dieser Klasse tauchen erfahrungsgemäß zeitverzögert in fertigen Angriffswerkzeugen auf, weil sie den lohnendsten Baustein liefern – den Sprung in einen Kontext, aus dem heraus sich Anmeldeinformationen abgreifen lassen.
Patchen ist Pflicht. Aufräumen ist Wirkung.
Das Update installieren Sie über den normalen Weg. Interessanter ist der zweite Teil: Ein Angreifer, der SYSTEM-Rechte erreicht hat, ist nur dann in einer starken Position, wenn er dort auch etwas Verwertbares findet. Genau darüber entscheidet Ihre Kerberos-Hygiene – und die ist in den meisten gewachsenen Domänen deutlich schlechter, als die Verantwortlichen vermuten.
Die drei Dauerbrenner
| Befund | Warum das gefährlich ist | Zielzustand |
|---|---|---|
| Dienstkonten mit SPN und altem Passwort | Kerberoasting: Jeder Domänenbenutzer kann ein Service-Ticket anfordern und offline knacken. Ein zehn Jahre altes Passwort mit acht Zeichen fällt in Minuten. | Passwort ≥ 25 Zeichen oder gMSA, Rotation dokumentiert |
| RC4 weiterhin zugelassen | Ist msDS-SupportedEncryptionTypes nicht gesetzt, bleibt RC4-HMAC möglich – die Grundlage für effizientes Kerberoasting. | AES128/AES256 erzwingen, RC4 gezielt abschalten |
| Unbeschränkte Delegierung auf Nicht-DCs | Wer ein solches System kontrolliert, kann weitergereichte TGTs abgreifen – bis hin zum Domänenadministrator. | Auf ressourcenbasierte eingeschränkte Delegierung umstellen |
Das folgende Skript liefert diese drei Befunde in einem Durchlauf. Es ist reines Lesen, es verändert nichts und lässt sich gefahrlos auf einem Administrations-Client mit RSAT ausführen:
# ISW - Kerberos-Hygiene: RC4, Delegierung, krbtgt
[Console]::OutputEncoding = [System.Text.Encoding]::UTF8
Import-Module ActiveDirectory
Write-Host "`n=== 1. krbtgt-Passwortalter ===" -ForegroundColor Cyan
Get-ADUser krbtgt -Properties PasswordLastSet, msDS-KeyVersionNumber |
Select-Object Name, PasswordLastSet,
@{n='TageAlt';e={[int]((Get-Date) - $_.PasswordLastSet).TotalDays}},
@{n='KVNO'; e={$_.'msDS-KeyVersionNumber'}}
Write-Host "`n=== 2. Unbeschraenkte Delegierung (ohne DCs) ===" -ForegroundColor Cyan
$dcs = (Get-ADDomainController -Filter *).ComputerObjectDN
Get-ADObject -Filter {(userAccountControl -band 524288) -and (objectClass -eq "computer" -or objectClass -eq "user")} `
-Properties samAccountName, userAccountControl |
Where-Object { $dcs -notcontains $_.DistinguishedName } |
Select-Object samAccountName, objectClass, DistinguishedName
Write-Host "`n=== 3. Konten, die RC4 noch zulassen ===" -ForegroundColor Cyan
Get-ADUser -Filter {ServicePrincipalName -like "*"} `
-Properties ServicePrincipalName, 'msDS-SupportedEncryptionTypes', PasswordLastSet |
Select-Object SamAccountName,
@{n='EncTypes';e={ if ($null -eq $_.'msDS-SupportedEncryptionTypes') {'NICHT GESETZT (RC4 moeglich)'}
else { $_.'msDS-SupportedEncryptionTypes' } }},
@{n='PwAlterTage';e={[int]((Get-Date) - $_.PasswordLastSet).TotalDays}},
@{n='SPNs';e={($_.ServicePrincipalName) -join '; '}} |
Sort-Object PwAlterTage -DescendingAuffälligkeiten sichtbar machen, statt sie zu vermuten
Kerberoasting hinterlässt Spuren, die niemand auswertet: Ereignis 4769 mit dem Verschlüsselungstyp 0x17 (RC4-HMAC) für Dienstkonten, angefordert von einem Client, der mit diesem Dienst nichts zu tun hat. In einer sauber auf AES umgestellten Umgebung ist das ein sehr schmales Signal – und damit ein brauchbares.
# Auffaellige Kerberos-Tickets aus den DC-Sicherheitsprotokollen (letzte 24 h)
# 4769 = Service-Ticket angefordert; 0x17 = RC4-HMAC
$since = (Get-Date).AddHours(-24)
foreach ($dc in (Get-ADDomainController -Filter *).HostName) {
Get-WinEvent -ComputerName $dc -FilterHashtable @{
LogName='Security'; Id=4769; StartTime=$since } -ErrorAction SilentlyContinue |
ForEach-Object {
$x = [xml]$_.ToXml()
[pscustomobject]@{
DC = $dc
Zeit = $_.TimeCreated
Benutzer = ($x.Event.EventData.Data | Where-Object Name -eq 'TargetUserName').'#text'
Dienst = ($x.Event.EventData.Data | Where-Object Name -eq 'ServiceName').'#text'
EncType = ($x.Event.EventData.Data | Where-Object Name -eq 'TicketEncryptionType').'#text'
Client = ($x.Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text'
}
} | Where-Object { $_.EncType -eq '0x17' -and $_.Dienst -notlike '*$' }
}- August-Updates auf allen Domänencontrollern und Servern ausrollen, DCs zuerst.
- Kurzaudit ausführen und die Befunde nach Aufwand und Wirkung sortieren.
- Dienstkonten mit SPN und altem Passwort auf gMSA umstellen oder mit einem sehr langen Passwort neu setzen.
- Verschlüsselungstypen auf AES setzen, RC4-Nutzung vier Wochen im Audit beobachten.
- Unbeschränkte Delegierung außerhalb der DCs abbauen.
- krbtgt-Rotation als wiederkehrenden Termin einplanen, zwei Durchläufe mit Abstand.