Microsoft behebt kritische Windows Active Directory RCE- und DoS-Schwachstellen

Microsoft hat im Rahmen seines Update-Zyklus vom November 2026 zwei kritische Sicherheitslücken in Windows Active Directory offengelegt und behoben. Diese Mängel setzten die Identitätsinfrastruktur von Unternehmen der Remote-Code-Ausführung und netzwerkbasierten Denial-of-Service-Angriffen aus. Laut Hinweisen des Microsoft Security Response Center und Berichten von GBHackers ermöglichen die Schwachstellen Angreifern mit grundlegenden, niedrigstufigen Netzwerkanmeldeinformationen, beliebigen Code auszuführen oder Verzeichnisdienste in Unternehmensumgebungen zum Absturz zu bringen, ohne dass eine administrative Interaktion erforderlich ist.

Die Behebung dieser Fehler ist für globale Unternehmenssicherheitsteams und Technologieadministratoren von unmittelbarer Dringlichkeit. Da Windows Active Directory als zentrales Tier-0-Authentifizierungs- und Zugriffssteuerungs-Rückgrat in der überwiegenden Mehrheit der Fortune-500-Netzwerke fungiert, stellen Mängel, die die Hürde für laterale Bewegung oder Dienstunterbrechungen senken, systemische Betriebsrisiken dar. Angreifer, die über routinemäßige Phishing- oder Credential-Stuffing-Kampagnen Standard-Mitarbeiteranmeldeinformationen erlangen, könnten diese Schwachstellen ausnutzen, um Privilegien zu eskalieren oder die Authentifizierungsabläufe des Unternehmens zu lähmen.

Technische Details der Active Directory-Schwachstellen

Der schwerwiegendere der beiden neu offengelegten Mängel wird als CVE-2026-119948 verfolgt und weist einen Common Vulnerability Scoring System (CVSS)-Basisscore von 7,5 auf. Die Sicherheitsdokumentation klassifiziert das Problem als Stack-basierten Pufferüberlauf, der unter Common Weakness Enumeration als CWE-121 bezeichnet wird. Praktisch gesehen erlaubt eine unsachgemäße Bereichsprüfung innerhalb des Active Directory-Dienstes einem authentifizierten Benutzer mit geringen Privilegien, speziell gestaltete Netzwerkanfragen zu senden, die den Stack-Speicher überschreiben, was letztendlich die Ausführung beliebigen Codes über ein Unternehmensnetzwerk ohne Benutzerinteraktion ermöglicht.

Neben dem Code-Ausführungsfehler hat Microsoft eine zweite Schwachstelle mit der Bezeichnung CVE-2026-105559 behoben, der ein CVSS-Score von 6,5 zugewiesen wurde. Als Dereferenzierung eines nicht vertrauenswürdigen Zeigers (CWE-822) kategorisiert, resultiert dieser Fehler daraus, dass der Dienst versucht, Speicher mithilfe einer unsachgemäß validierten Zeigeradresse zu lesen oder zu schreiben. Gekennzeichnet durch eine geringe Angriffskomplexität, ermöglicht CVE-2026-105559 einem authentifizierten Angreifer mit geringen Privilegien, eine unbehandelte Ausnahme auszulösen, die die Verfügbarkeit von Active Directory zum Absturz bringt und somit die Authentifizierungs- und Verzeichnis-Lookup-Funktionen in der betroffenen Domäne effektiv unterbricht.

Unternehmensumfang und operative Auswirkungen

Der vom Microsoft Security Response Center offengelegte Expositionsbereich umfasst mehr als ein Jahrzehnt an Enterprise- und Client-Betriebssystem-Releases. Betroffene Workstation-Umgebungen umfassen unterstützte Builds von Windows 10 und Windows 11. Auf der Seite der Rechenzentrums- und Unternehmensinfrastruktur betreffen die Schwachstellen Windows Server 2016, Windows Server 2019, Windows Server 2022 und die neu bereitgestellte Windows Server 2025-Plattform, wobei explizit headless Server Core-Installationen, die häufig für Domänencontroller verwendet werden, eingeschlossen sind.

Aus operativer Sicht verstärkt die Konvergenz von geringer Angriffskomplexität und minimalen Privilegienanforderungen das Bedrohungsprofil beider CVEs. Bei modernen Unternehmensverletzungen ernten Initial Access Broker routinemäßig Standard-Domänenbenutzerkonten. Sobald ein Angreifer innerhalb des Perimeters ist, könnte er CVE-2026-119948 nutzen, um Domänencontroller direkt über Standard-interne Netzwerkprotokolle anzugreifen und so die Remote-Code-Ausführung zu erreichen. Selbst wenn die vollständige Code-Ausführung durch Endpunktschutzmaßnahmen gemildert wird, könnte ein Angreifer oder Insider CVE-2026-105559 instrumentalisieren, um Domänencontroller wiederholt offline zu zwingen, wodurch Single Sign-On, die Durchsetzung von Gruppenrichtlinien und Kerberos-Ticketing in allen Geschäftsbereichen zum Erliegen kämen.

Prioritäten bei der Patch-Bereitstellung und defensive Haltung

Cybersicherheitsverteidiger betonen, dass eine beschleunigte Bereitstellung der Sicherheitsupdates vom November 2026 unerlässlich ist, um die Integrität des Tier-0-Verzeichnisses aufrechtzuerhalten. Da Domänencontroller nicht einfach ohne sorgfältige Failover-Orchestrierung offline genommen werden können, müssen Infrastrukturteams eine schnelle Patch-Bereitstellung mit der Stabilität des Änderungsmanagements in Einklang bringen und redundante Domänencontroller sowie headless Server Core-Instanzen in gestaffelten Wartungsfenstern priorisieren.

Neben der Anwendung der offiziellen Microsoft-Patches wird Sicherheitsexperten in Unternehmen empfohlen, Active Directory-Authentifizierungsprotokolle auf anomalen Netzwerkverkehr zu prüfen, der von Standard-Benutzer-Workstations zu Domänencontroller-Schnittstellen stammt. Die Stärkung der Identitätshygiene – einschließlich strikter Netzwerksegmentierung um Tier-0-Assets, kontinuierlicher Überwachung auf kompromittierte Anmeldeinformationen mit geringen Privilegien und der Durchsetzung von Least-Privilege-Zugriffsrichtlinien – bleibt entscheidend, um den Explosionsradius von Verzeichnis-Schwachstellen in hybriden Unternehmensnetzwerken zu begrenzen.