Umgehung der Windows-Kerberos-Authentifizierung ermöglicht Rechteausweitung über das Netzwerk (CVE-2026-85844)

Was passiert ist

CVE-2026-85844 ist eine Umgehung der Kerberos-Authentifizierung unter Windows. Microsoft beschreibt die Schwachstelle so, dass ein unbefugter Angreifer über einen alternativen Pfad oder Kanal Rechte über ein Netzwerk ausweiten kann. Der CVSS-3.1-Vektor ist netzwerkbasiert, weist eine geringe Angriffskomplexität, keine erforderlichen Berechtigungen und keine Benutzerinteraktion auf; die Bewertung beträgt 9,8 (Kritisch), mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Microsoft stuft die Schwachstelle in seinem Sicherheitshinweis als „Wichtig“ ein.

In der Praxis benötigt ein Angreifer, der einen auf Kerberos angewiesenen Windows-Host erreicht, vor dem Erlangen erweiterter Rechte weder Anmeldedaten noch eine Benutzeraktion. Der CVE-Eintrag meldet keine öffentliche Bekanntgabe und keine aktive Ausnutzung.

Wer betroffen ist

Der Update-Leitfaden von Microsoft umfasst Windows 10 in den Versionen 1607, 1809, 21H2 und 22H2, Windows 11 in den Versionen 23H2, 24H2, 25H2, 26H1 und 26H2 sowie Windows Server 2012, 2012 R2, 2016, 2019, 2022 und 2025, einschließlich der jeweils aufgeführten Server Core-Installationen. Betroffen sind jeweils Systeme mit Builds vor den unten genannten korrigierten Versionen. Da es sich um verbreitete Server für die Domänenauthentifizierung und für Anwendungen handelt, haben Domänencontroller und andere auf Kerberos angewiesene Hosts Priorität.

Was jetzt zu tun ist

1. Spielen Sie das Sicherheitsupdate vom November 2026 ein. Zu den korrigierten Builds gehören:

• Windows 10 Version 1607: 10.0.14393.9688; Version 1809: 10.0.17763.9487; Version 21H2: 10.0.19044.7846; Version 22H2: 10.0.19045.7846
• Windows 11 Version 23H2: 10.0.22631.7711; Version 24H2: 10.0.26100.9974; Version 25H2: 10.0.26200.9974; Version 26H1: 10.0.28000.3501; Version 26H2: 10.0.26300.9974
• Windows Server 2012: 6.2.9200.26434; 2012 R2: 6.3.9600.23470; 2016: 10.0.14393.9688; 2019: 10.0.17763.9487; 2022: 10.0.20348.5870; 2025: 10.0.26100.33822

1. Microsoft hat keine Problemumgehung veröffentlicht. Falls ein sofortiges Einspielen der Sicherheitsupdates nicht möglich ist, schränken Sie den Netzwerkzugriff auf die Kerberos-Authentifizierung und die Domänendienste ein. Die vollständige Zuordnung von Builds zu KB-Artikeln finden Sie im Microsofts Leitfaden zu Sicherheitsupdates.

Wie man es erkennt

Microsoft hat für diese Schwachstelle keine Indikatoren für eine Kompromittierung veröffentlicht. Da die Schwachstelle die Kerberos-Authentifizierung über das Netzwerk ohne Anmeldedaten umgeht, sollten Sicherheitsteams die Authentifizierungsprotokolle der Domänencontroller auf unerwartete Rechteänderungen oder Ticketvergabe-Aktivitäten aus nicht vertrauenswürdigen Quellen prüfen.

Über den Patch hinaus

Über das Einspielen von Sicherheitsupdates hinaus zeigt diese Schwachstelle, wie schnell alle Windows-Builds in der Umgebung gefunden und ein kritisches Update ausgerollt werden können, bevor ein exponierter Host missbraucht wird. Da die Schwachstelle ohne Anmeldedaten über das Netzwerk erreichbar ist, lässt sich diese Angriffsfläche mit Virtual CISO Services (vCISO) sichtbar halten; mit Managed Detection and Response (MDR) lassen sich die Rechteausweitung und der Missbrauch von Anmeldedaten überwachen, die auf eine Authentifizierungsumgehung folgen. Falls ein Managed-Service-Provider oder eine Tochtergesellschaft für einen Teil des Patchzyklus verantwortlich ist, unterstützen wir Sie mit Lieferkettenschutz und Drittparteirisiko dabei, dieses Expositionsfenster nachzuverfolgen.