Microsoft hat mit den Sicherheitsupdates vom 10. November 2026 eine kritische Schwachstelle in der Windows-Authentifizierung über Kerberos geschlossen. Der Fehler CVE-2026-85844 ermöglicht es Angreifern unter den beschriebenen Bedingungen, die Anmeldung über einen alternativen Zugriffsweg zu umgehen und Rechte über das Netzwerk auszuweiten. Mit einem CVSS-3.1-Wert von 9,8 ist die Schwachstelle besonders für Betreiber von Active-Directory-Domänencontrollern relevant.
Am 12. November warnte auch das staatliche lettische Computer-Notfallteam CERT.LV vor dem Fehler. Die Behörde empfiehlt eine zügige Installation der bereitgestellten Sicherheitsupdates, insbesondere auf Servern und Domänencontrollern. Die Kerberos-Lücke ist von der ebenfalls im November geschlossenen LDAP-Schwachstelle CVE-2026-119958 zu unterscheiden.
Kerberos-Anmeldung lässt sich über einen anderen Zugriffsweg umgehen
Kerberos ist in Active-Directory-Netzen ein zentraler Bestandteil der Identitätsprüfung. Microsoft führt die Schwachstelle als Windows Kerberos Elevation of Privilege Vulnerability. Beschrieben wird eine Umgehung der Authentifizierung über einen alternativen Pfad oder Kommunikationskanal (CWE-288). Statt gültige Zugangsdaten nach dem regulären Verfahren vorweisen zu müssen, kann ein Angreifer damit unter geeigneten Bedingungen höhere Rechte erlangen.
Die veröffentlichte CVSS-Bewertung nennt einen netzwerkbasierten Angriff mit niedriger Komplexität. Vorherige Benutzerrechte und eine Mitwirkung des Nutzers sind nach dem Bewertungsvektor nicht erforderlich. CERT.LV nennt ausdrücklich die Möglichkeit, SYSTEM-Rechte beispielsweise auf einem Domänencontroller zu erreichen. Welche Zugangsbedingungen im konkreten Netzwerk vorliegen, muss anhand der jeweiligen Serverkonfiguration beurteilt werden.
Ein hoher CVSS-Wert bedeutet nicht, dass der Fehler bereits aktiv ausgenutzt wird. Für CVE-2026-85844 war bei der Recherche keine bestätigte Ausnutzung bekannt; die technische Schwere und die Rolle der Kerberos-Dienste begründen unabhängig davon eine hohe Priorität.
Windows Server 2016 bis 2025 und Windows 11 betroffen
Die Schwachstelleninformationen führen unterstützte Windows-Clientversionen und Windows Server auf. Auch Server-Core-Installationen gehören zu den betroffenen Produkten. Für den Abgleich des Aktualisierungsstands sind nach den veröffentlichten Angaben insbesondere folgende korrigierte Betriebssystembuilds maßgeblich:
- Windows Server 2025: Build 26100.33822 oder höher.
- Windows Server 2022: Build 20348.5870 oder höher.
- Windows Server 2019: Build 17763.9487 oder höher.
- Windows Server 2016: Build 14393.9688 oder höher.
- Windows 11 24H2: Build 26100.9974 oder höher.
- Windows 11 25H2: Build 26200.9974 oder höher.
- Windows 11 26H2: Build 26300.9974 oder höher.
Für Windows 11 23H2, Version 26H1 sowie ältere Windows-Versionen führt Microsoft eigene Aktualisierungsstände. Welche Sicherheitsupdates bezogen werden können, hängt außerdem von der jeweiligen Version, Edition und dem Support- beziehungsweise ESU-Status ab. Eine Versionsnummer allein ersetzt daher nicht die Prüfung, ob das passende November-Sicherheitsupdate tatsächlich installiert ist.
Domänencontroller zuerst aktualisieren
Bei Unternehmen mit lokalem Active Directory sollten Domänencontroller in der Patchplanung Vorrang haben. Zunächst sind die Betriebssystembuilds und der Stand der kumulativen Windows-Updates zu erfassen. Danach sollten die ausstehenden November-Sicherheitsupdates innerhalb eines abgestimmten Wartungsfensters installiert werden. In Umgebungen mit mehreren Domänencontrollern sind Replikation, DNS-Auflösung und die Verfügbarkeit der Anmeldedienste während der Wartung zu berücksichtigen.
Eine Beschränkung der Erreichbarkeit von Kerberos-Diensten auf notwendige Netzbereiche kann die Angriffsfläche reduzieren, ersetzt die Sicherheitskorrektur aber nicht. Kerberos wird in vielen Domänen für den regulären Betrieb benötigt; eine pauschale Deaktivierung ist deshalb kein sinnvoller allgemeiner Reparaturweg.
Die beschriebenen Schwachstellen werden durch Windows-Sicherheitsupdates geschlossen. Ein ausschließliches Aktualisieren einzelner Anwendungen oder der Exchange-Server-Software reicht bei einem ungepatchten Windows-Betriebssystem nicht aus.
Sicherheitsupdates und weitere Informationen
Microsoft dokumentiert die Schwachstelle unter CVE-2026-85844 im Security Update Guide. Die Sicherheitsmeldung von CERT.LV vom 12. November 2026 enthält die betroffenen Buildstände und hebt die Bedeutung von Domänencontrollern hervor.
Die deutschsprachigen Microsoft-Informationen zu den November-Updates finden sich unter Windows Server 2025 – KB5131080, Windows Server 2022 – KB5131090 und Windows 11 – KB5132061. Die Paketwahl muss zum tatsächlich installierten Betriebssystem passen.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten