Schwachstelle in Microsoft AD FS ermöglicht Identitäts-Spoofing über das Netzwerk ohne Authentifizierung (CVE-2026-96252)

Was passiert ist

Das Sicherheitsupdate von Microsoft vom Oktober 2026 behebt CVE-2026-96252: eine unzureichende Überprüfung kryptografischer Signaturen in den Active Directory-Verbunddiensten (AD FS). Die Schwachstelle ist über das Netzwerk erreichbar, erfordert keine Berechtigungen und keine Benutzerinteraktion. Ein Angreifer, der einen AD-FS-Endpunkt erreichen kann, kann möglicherweise eine gefälschte Signatur vorlegen, die der Dienst akzeptiert, und so in einem föderierten Authentifizierungsaustausch Identitäten vortäuschen.

Der CVSS-3.1-Basiswert beträgt 9,1 (kritisch); Microsofts Sicherheitshinweis stuft die Schwachstelle als wichtig ein. Die Auswirkungen auf Vertraulichkeit und Integrität werden als hoch bewertet; die Verfügbarkeit ist nicht betroffen. Die SSVC-Bewertung stuft die Ausnutzung als automatisierbar und die technische Auswirkung als vollständig ein. Microsoft hat nicht erklärt, dass diese Schwachstelle aktiv ausgenutzt wird, und es ist keine öffentliche Offenlegung verzeichnet.

Wer betroffen ist

Betroffen sind Windows 10 Version 1607, Windows 10 Version 1809, Windows Server 2012, Windows Server 2012 R2, Windows Server 2016, Windows Server 2019, Windows Server 2022 und Windows Server 2025, einschließlich Server-Core-Installationen, in Versionen vor den unten aufgeführten korrigierten Builds. AD FS ist ein Verbunddienst; prüfen Sie, welche Ihrer AD-FS-Endpunkte aus dem Internet oder aus Partnernetzen erreichbar sind.

Was jetzt zu tun ist

1. Spielen Sie das Sicherheitsupdate von Microsoft vom Oktober 2026 ein. Korrigierte Builds (Server-Core-Installationen verwenden dieselben korrigierten Builds):

• Windows 10 Version 1607 und Windows Server 2016: 10.0.14393.9612 (KB5126868)
• Windows 10 Version 1809 und Windows Server 2019: 10.0.17763.9376 (KB5126651)
• Windows Server 2012: 6.2.9200.26434 (KB5126835)
• Windows Server 2012 R2: 6.3.9600.23470 (KB5126836)
• Windows Server 2022: 10.0.20348.5761 (KB5126655)
• Windows Server 2025: 10.0.26100.33650 (KB5126646)

1. Microsoft hat keine Problemumgehung veröffentlicht; das Einspielen der Sicherheitsupdates ist daher die wichtigste Maßnahme zur Behebung.
2. Falls Sie nicht sofort aktualisieren können, schränken Sie den Netzzugriff auf AD-FS-Endpunkte auf vertrauenswürdige Netzwerke und Identitätsanbieter ein und überwachen Sie die Authentifizierungsereignisse des Verbundservers.

Wie man es erkennt

Microsoft hat keine Indikatoren für eine Kompromittierung veröffentlicht. Identifizieren Sie AD-FS-Endpunkte, die aus nicht vertrauenswürdigen Netzwerken erreichbar sind, da diese Schwachstelle ohne Zugangsdaten über das Netzwerk ausgenutzt werden kann, und prüfen Sie die Authentifizierungsprotokolle des Verbundservers auf Auffälligkeiten.

Über den Patch hinaus

Über das Update hinaus sollten Sie AD FS als einen über das Netzwerk erreichbaren Identitätsdienst behandeln: Diese Schwachstelle erfordert keine Zugangsdaten und keine Benutzerinteraktion, daher sind exponierte Verbund-Endpunkte das Hauptrisiko. Mit Virtual CISO Services unterstützen wir Sie dabei, diese Angriffsfläche zu kartieren und zu reduzieren, und mit Managed Detection & Response überwachen wir Identitäts- und Authentifizierungspfade auf Spoofing-Aktivitäten. Spielen Sie zuerst das Sicherheitsupdate ein und prüfen Sie anschließend, ob nur die erforderlichen Identitätsanbieter und Netzwerke Ihre Verbundserver erreichen können.