Windows Netlogon-Sicherheitslücke CVE-2026-41089 wird aktiv ausgenutzt – Prioritätspatch erforderlich

Angreifer nutzen derzeit aktiv eine kritische Sicherheitslücke in Windows Netlogon aus, die Microsoft vor drei Wochen behoben und ursprünglich als unwahrscheinlich für einen Angriff eingestuft hatte. Das belgische Zentrum für Cybersicherheit gab am 29. Mai eine Warnung vor der aktiven Ausnutzung dieser Schwachstelle heraus und erhöhte damit das Risikoprofil für alle ungepatchten Windows-Server-Umgebungen, die als Domänencontroller fungieren. Obwohl Microsoft am 1. Juni erklärte, diese Einschätzung noch zu überprüfen und das MSRC-Portal bislang nicht aktualisiert zu haben, werden Sicherheitsteams dringend dazu aufgefordert, nicht abzuwarten.

CVE-2026-41089 ist ein stapelbasierter Pufferüberlauf im Netlogon-Dienst mit einem CVSS-Wert von 9,8. Ein nicht authentifizierter Angreifer kann eine speziell präparierte Netzwerkanfrage an einen Windows-Server senden, der als Domänencontroller fungiert. Im Erfolgsfall verarbeitet der Netlogon-Dienst diese Anfrage fehlerhaft, sodass der Angreifer beliebigen Code mit SYSTEM-Rechten ausführen kann. Es sind keine Anmeldeinformationen erforderlich, keine Benutzerinteraktion notwendig und kein vorheriger Zugriff erforderlich.

Warum die Besorgnis?

Microsoft hat am 12. Mai im Rahmen des Patch-Dienstags die Sicherheitslücke CVE-2026-41089 geschlossen und dabei insgesamt 138 CVEs behoben. Trotz des hohen Schweregrads von 9,8 stufte Microsoft die Schwachstelle zum Zeitpunkt der Veröffentlichung als „weniger wahrscheinlich ausnutzbar“ ein. Genau diese Diskrepanz zwischen offizieller Einschätzung und aktuellen Bedrohungsberichten sorgt bei Sicherheitsteams in Unternehmen für Verunsicherung.

Die Warnung des CCB erfolgte 17 Tage nach der Veröffentlichung des Patches – und damit innerhalb des üblichen Zeitrahmens für Patch-Zyklen in Unternehmen. Organisationen, die Patch-Dienstag-Updates im Rahmen eines 30-tägigen Rollouts statt als sofortige Priorität behandeln, sind derzeit besonders gefährdet.

Windows Netlogon CVE-2026-41089: Was gefährdet ist

Domänencontroller bilden das Rückgrat der Authentifizierung in Active-Directory-Umgebungen. Die erfolgreiche Ausnutzung von CVE-2026-41089 ermöglicht es Angreifern, Systemcode direkt auf dem Domänencontroller auszuführen. In der Praxis bedeutet dies die vollständige Kontrolle über die Active-Directory-Domäne, einschließlich der Möglichkeit, privilegierte Konten zu erstellen und sich lateral über alle Systeme auszubreiten, die sich an diesem Controller authentifizieren.

Jack Bicer, Leiter der Schwachstellenforschung bei Action1, warnte bereits zum Zeitpunkt der Patch-Veröffentlichung vor der Sicherheitslücke: „Diese CVE erfordert sofortige Aufmerksamkeit. Erfolgreiche Angriffe können zu einer weitreichenden Kompromittierung von Endpunkten, dem Einsatz von Ransomware, dem Diebstahl von Anmeldeinformationen und erheblichen Betriebsstörungen in Unternehmensnetzwerken führen.“

Maßnahmen zur Abwehr

Die Installation des kumulativen Updates vom 12. Mai sollte umgehend erfolgen, sofern diese noch nicht durchgeführt wurde. Die Behebung ist im Standard-Update für Windows Server in allen unterstützten Versionen enthalten. Domänencontroller sollten vor direktem Internetzugang geschützt und der Netlogon-Datenverkehr auf authentifizierte interne Quellen beschränkt werden. Der 9. Juni markiert den nächsten Patch-Dienstag und stellt zugleich das letzte Update-Fenster vor dem Ablauf des Secure-Boot-Zertifikats zwischen dem 24. und 27. Juni dar, wodurch sich die Dringlichkeit einer zeitnahen Umsetzung der Mai-Updates erhöht.