Stand: 7. August 2026 – beide Schwachstellen sind gepatcht (März bzw. April 2026)
Kurzfassung: Auf der Black Hat USA 2026 hat Semperis-Researcher Shai Laron zwei Active-Directory-Schwachstellen offengelegt, die er bereits Ende 2025 an Microsoft gemeldet hatte. KerberLoss (CVE-2026-25177, CVSS 8.8) und ResetNightmare (CVE-2026-27912, CVSS 8.0) nutzen beide dasselbe Grundmuster: unsichtbare Unicode-Zeichen bringen Domänencontroller dazu, zwei unterschiedliche Objekte für dasselbe zu halten. Ergebnis: Kerberos-Downgrade auf NTLM, Denial of Service – und im schlimmsten Fall vollständige Domänenübernahme. Microsoft hat beide Lücken geschlossen. Wer seine Domänencontroller auf einem Cumulative Update ab April 2026 hält, ist geschützt. Wer nicht, hat ein akutes Problem: Die technischen Details und ein PoC sind jetzt öffentlich.
Warum Active Directory hier so empfindlich ist
Seit Windows 2000 ist Kerberos das Standardprotokoll für die Authentifizierung innerhalb einer AD-Domäne. Es übernimmt die sichere Authentifizierung von Benutzern und Computern, stellt kryptografische Tickets aus, ermöglicht Single Sign-on und vermeidet die Übertragung von Kennwörtern über das Netz.
Damit das funktioniert, muss der Domänencontroller Identitäten eindeutig auflösen können. Genau an dieser Stelle setzen beide Schwachstellen an – nicht an der Kryptografie.
Eine wichtige Präzisierung, die in vielen Meldungen untergeht: Der eigentliche Fehler liegt nicht im Kerberos-Protokoll selbst, sondern in der Namensvalidierung von Active Directory Domain Services. Das NVD ordnet CVE-2026-25177 der Kategorie CWE-641 zu – „improper restriction of names for files and other resources“. Kerberos ist der Weg, über den sich der Fehler auswirkt.
Das gemeinsame Grundmuster: Identity Confusion
Laron ging der Frage nach, welche Unicode-Zeichen in AD-Objektnamen zulässig sind, dabei aber unsichtbar bleiben. Das Ergebnis: Es existieren Zeichen, die serverseitig durch die LDAP-Verarbeitung rutschen und dazu führen, dass zwei Werte optisch identisch, logisch aber verschieden sind. Prüfungen auf Eindeutigkeit greifen damit ins Leere.
Aus dieser einen Beobachtung entstehen zwei Angriffe.
KerberLoss (CVE-2026-25177): kollidierende SPNs
Service Principal Names identifizieren Dienstinstanzen gegenüber Kerberos – etwa cifs für SMB-Freigaben, TERMSRV für RDP, dazu LDAP und HTTP. SPNs müssen domänenweit eindeutig sein, sonst kann Kerberos ein Ticket nicht dem richtigen Dienstkonto zuordnen.
Über eingeschleuste unsichtbare Zeichen lässt sich diese Eindeutigkeitsprüfung umgehen und ein kollidierender SPN registrieren. Die Folgen gestaffelt:
- Kerberos-Downgrade: Der DC kann den SPN nicht sauber auflösen, die Kerberos-Authentifizierung schlägt fehl, Clients fallen auf NTLM zurück.
- Denial of Service: Betroffene Dienste sind nicht mehr per Kerberos erreichbar.
- Rechteausweitung: Microsoft stuft die Lücke als Elevation of Privilege ein.
Bewertung durch Microsoft: Wichtig, CVSS v3.1 8.8, Vektor AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Also netzwerkbasiert, geringe Privilegien nötig, keine Nutzerinteraktion, hohe Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit.
Warum der NTLM-Fallback der eigentliche Hebel ist: NTLM wird aus Kompatibilitätsgründen weiterhin unterstützt, ist aber seit Jahren Ziel von NTLM-Relay- und Pass-the-Hash-Angriffen. Ein erzwungener Downgrade entfaltet seine Wirkung erst dann, wenn NTLM in der Umgebung überhaupt noch verfügbar ist.
ResetNightmare (CVE-2026-27912): UPN gegen sAMAccountName
Die zweite Schwachstelle ist die kritischere. Hier wird einem kontrollierten Objekt ein UserPrincipalName zugewiesen, der dem sAMAccountName eines anderen – beliebigen – Kontos entspricht. Der DC verwechselt daraufhin die Identitäten, was bis zur Übernahme von Domain-Admin-Konten führt.
Was ein Angreifer dafür braucht:
- GenericWrite-Berechtigungen auf ein beliebiges Benutzer- oder Computerobjekt der Domäne – oder die Möglichkeit, solche Objekte anzulegen (ohne Rückgriff auf MachineAccountQuota).
- Ein Zielkonto, dessen Passwort ausreichend alt ist. Da die Minimum Password Age in AD standardmäßig bei einem Tag liegt, ist diese Bedingung in der Praxis fast immer erfüllt.
Punkt 1 ist die entscheidende Einschränkung – und zugleich der Grund, warum die Lücke in vielen gewachsenen Umgebungen trotzdem trägt: Delegierte Schreibrechte auf OUs, Helpdesk-Gruppen mit zu weiten ACLs und historisch vergebene GenericWrite-Rechte sind eher die Regel als die Ausnahme.
Microsoft führt die Lücke als Privilege-Escalation in Windows Kerberos mit CVSS 8.0. In der Advisory-Beschreibung ist von einer fehlerhaften Autorisierung bei der Prüfung von Kerberos-Service-Ticket-Anfragen die Rede, über die ein authentifizierter Angreifer Sicherheitsprüfungen umgehen und bis zu Domain-Admin-Rechten aufsteigen kann. Semperis beschreibt denselben Sachverhalt konkreter aus Angreifersicht – über den kollidierenden UPN.
Bemerkenswert ist die Fehlerklasse: kein Speicherfehler, kein Buffer Overflow, sondern ein Logikfehler im Identitäts-Handling. Solche Schwachstellen umgehen bestehende Schutzmechanismen, ohne dass Schadcode auf einem Domänencontroller ausgeführt werden muss – klassische EDR-Erkennung greift hier nicht.
Zeitleiste und Patch-Status
| KerberLoss | ResetNightmare | |
|---|---|---|
| CVE | CVE-2026-25177 | CVE-2026-27912 |
| An MSRC gemeldet | 26.11.2025 | 17.12.2025 |
| Von MSRC bestätigt | 17.01.2026 | 09.01.2026 |
| Patch verfügbar | 10.03.2026 (Patchday) | 14.04.2026 (Patchday) |
| Microsoft-Kategorie | Active Directory Domain Services, Elevation of Privilege | Windows Kerberos, Elevation of Privilege |
| CVSS v3.1 | 8.8 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) | 8.0 |
| Betroffen | alle unterstützten Windows-Server-Versionen in der DC-Rolle – die exakte Produkt- und KB-Liste steht im MSRC Update Guide unter „Security Updates“ | dito |
Die Offenlegung auf der Black Hat USA 2026 (4.–6. August, Mandalay Bay, Las Vegas) erfolgte damit koordiniert und rund vier Monate nach dem letzten Patch.
Konkrete Maßnahmen
Priorität 1 – Patchstand der Domänencontroller prüfen. Beide Fehler liegen serverseitig: KerberLoss in AD DS, ResetNightmare im Kerberos-KDC. Entscheidend ist damit ausschließlich der Patchstand der DCs, nicht der von Member-Servern oder Clients.
Da Windows-Updates kumulativ sind, deckt jedes Cumulative Update ab dem 14. April 2026 beide CVEs ab – der März-Fix ist darin enthalten. Prüfen Sie explizit auch selten gepatchte DCs in Außenstellen, DR-Standorten und RODCs.
Eine praktische Falle: Nicht jedes April-Update ist das richtige. KB5082123 stammt zwar aus dem April 2026, behebt CVE-2026-25177 aber nicht – es adressiert die auslaufenden Secure-Boot-Zertifikate. Wer nur dieses Paket eingespielt hat, bleibt exponiert. Verifizieren Sie den Build-Stand pro DC gegen die im MSRC Update Guide gelistete KB, statt sich auf „im April gepatcht“ zu verlassen.
Sonderfall Altsysteme: Windows Server 2012 und 2012 R2 erhalten Updates nur noch bei aktivem ESU-Vertrag, und dieses Programm endet im Herbst 2026. DCs auf nicht mehr unterstützten Versionen bekommen keinen Fix – dort bleibt nur die Härtung der Berechtigungen, und mittelfristig die Migration.
Priorität 2 – Erkennung einrichten. Ohne spezialisiertes Tooling führt der Weg über SACLs zur Überwachung von AD-Objektänderungen. Ist die SACL konfiguriert, zeigt Event ID 5136 („A directory service object was modified“) im Security-Log der DCs die relevanten Änderungen:
- KerberLoss: Hinzufügen eines ServicePrincipalName, der mit einem bestehenden kollidiert.
- ResetNightmare: Hinzufügen eines UserPrincipalName, der dem sAMAccountName eines anderen Kontos entspricht.
Ergänzend: Event ID 11 im System-Log meldet erkannte doppelte SPNs; setspn -X findet Kollisionen im Bestand.
Priorität 3 – Angriffsfläche verkleinern.
- Nicht-Standard-Berechtigungen auf Benutzer- und Computerobjekten inventarisieren, insbesondere GenericWrite und Write-Property. Least Privilege macht beide Angriffe deutlich aufwendiger.
- MachineAccountQuota auf 0 setzen und Computerkonten kontrolliert über delegierte Prozesse anlegen.
- NTLM reduzieren oder abschalten, wo möglich – erst per Audit-Modus messen, dann blockieren. Ein Kerberos-Downgrade ins Leere läuft, wenn NTLM nicht mehr akzeptiert wird.
- Tiering und Privileged Access Workstations für administrative Konten konsequent umsetzen.
- AD regelmäßig auf Fehlkonfigurationen prüfen – Werkzeuge wie Purple Knight oder PingCastle liefern einen belastbaren Ausgangsbefund.
Einordnung
Der eigentliche Lerneffekt liegt nicht in den beiden CVEs, sondern im Muster. Angreifer verlagern ihren Fokus seit Jahren von Endpunkten und Servern hin zu Identitäten, Authentifizierungsprotokollen, Vertrauensbeziehungen, Active Directory und Entra ID. Ein Browser-Bug liefert Codeausführung auf einem Endgerät. Ein Fehler in der Identitätsschicht verändert dagegen, wie Vertrauen in der gesamten Umgebung aufgelöst wird.
Beide Schwachstellen zeigen außerdem, wie wenig es dafür braucht: kein Exploit-Code, kein Speicherfehler, sondern ein Zeichen, das niemand sieht. Für Unternehmen heißt das, Active Directory nicht als Verzeichnisdienst zu betrachten, sondern als geschäftskritische Sicherheitskomponente mit eigenem Monitoring, eigenem Patch-SLA und eigenem Berechtigungskonzept.
Quellen
- Semperis Security Research (Shai Laron): Identity Crisis: Novel Vulnerabilities Leading to Kerberos Downgrade, DoS, and Full Domain Takeover – semperis.com/blog
- Black Hat USA 2026, Briefing vom August 2026, Mandalay Bay Convention Center, Las Vegas
- Microsoft Security Response Center, Update Guide: CVE-2026-25177 (Patchday 10.03.2026) und CVE-2026-27912 (Patchday 14.04.2026) – dort auch die maßgebliche Liste betroffener Produkte und KB-Nummern
- NVD: CVE-2026-25177 (CVSS v3.1 8.8, CWE-641), veröffentlicht 10.03.2026, CPE-Anreicherung 13.03.2026