Microsoft hat am 10. November 2026 eine kritische Sicherheitslücke im LDAP-Dienst von Windows geschlossen. Die Schwachstelle CVE-2026-119958 ermöglicht nach Herstellerangaben unter bestimmten Voraussetzungen die Ausführung fremden Programmcodes über das Netzwerk, ohne dass ein Angreifer dafür angemeldet sein muss. Besonders wichtig sind die bereitgestellten Updates für Windows-Server mit Active-Directory-Diensten.
Die Lücke ist nach CVSS 3.1 mit 9,8 von 10 Punkten bewertet. Für Administratoren steht damit nicht eine neue Funktion, sondern die zeitnahe Absicherung erreichbarer Verzeichnisdienste im Vordergrund.
Fehler in der Speicherverarbeitung des LDAP-Dienstes
Microsoft beschreibt CVE-2026-119958 als Schreibzugriff außerhalb des vorgesehenen Speicherbereichs (Out-of-bounds Write, CWE-787). Präparierte Netzwerkanfragen an eine verwundbare LDAP-Implementierung können demnach zur Ausführung von Code führen. Die Bewertung nennt als Angriffsweg das Netzwerk, ohne erforderliche Benutzerrechte oder Mitwirkung des Anwenders.
Das ist insbesondere für Domänencontroller relevant: Sie stellen innerhalb einer Active-Directory-Umgebung Verzeichnis- und Authentifizierungsfunktionen bereit und sind für zahlreiche interne Systeme erreichbar. Die hohe Risikobewertung ist allerdings keine Aussage darüber, dass die Schwachstelle bereits praktisch ausgenutzt wird; eine bestätigte Angriffswelle lässt sich daraus nicht ableiten.
Sicherheitsupdates für Windows Server 2016 bis 2025
Die Korrektur ist Bestandteil der am 10. November 2026 veröffentlichten Windows-Sicherheitsupdates. Für die regulären Windows-Serverversionen sind unter anderem folgende Pakete maßgeblich; bei Server Core und besonderen Servicing-Konfigurationen ist der jeweilige Updatekanal zu berücksichtigen:
- Windows Server 2025: KB5131080, Betriebssystembuild 26100.33822.
- Windows Server 2022: KB5131090, Betriebssystembuild 20348.5870.
- Windows Server 2019: KB5131085, Betriebssystembuild 17763.9487.
- Windows Server 2016: KB5131291, Betriebssystembuild 14393.9688.
Microsoft führt die Schwachstelle auch in den Sicherheitsdaten unterstützter Windows-Clientversionen. Das konkrete Risiko richtet sich nach den verwendeten Komponenten und ihrer Erreichbarkeit; ein normaler Windows-PC ist nicht allein deshalb mit einem öffentlich erreichbaren Active-Directory-Domänencontroller gleichzusetzen.
Domänencontroller beim Einspielen priorisieren
Unternehmen sollten zuerst die tatsächlich installierten Buildstände der Domänencontroller und anderer LDAP-bereitstellender Windows-Server prüfen. Anschließend gehören die November-Updates in den regulären, möglichst kurzfristigen Patchprozess. Bei mehreren Domänencontrollern sind Wartungsreihenfolge, Replikationszustand und die Verfügbarkeit der Anmeldedienste zu berücksichtigen.
Bis alle betroffenen Systeme aktualisiert sind, sollten LDAP- und LDAPS-Verbindungen auf die erforderlichen Netze und Kommunikationspartner begrenzt bleiben. Dazu zählen je nach Umgebung die Ports 389 und 636 sowie die Global-Catalog-Ports 3268 und 3269. Solche Netzwerkbegrenzungen vermindern die Erreichbarkeit, beheben jedoch den Speicherfehler nicht. Eine allgemeine Deaktivierung von LDAP wäre in vielen Active-Directory-Umgebungen keine praktikable Abhilfe.
Download und Update
Die Sicherheitsupdates werden über die üblichen Windows-Update- und Unternehmenskanäle bereitgestellt. Für die Paketwahl zählen die tatsächlich eingesetzte Windows-Serverversion, der aktuelle Patchstand und gegebenenfalls erforderliche vorausgehende Wartungsupdates. Microsoft erläutert die Bereitstellung und die Installationswege in den jeweiligen deutschsprachigen Updateinformationen.
Für die aktuelle Servergeneration: Windows Server 2025 – KB5131080 und Windows Server 2022 – KB5131090.
Die vollständige Schwachstellenkennung und produktbezogene Aktualisierungen dokumentiert Microsoft unter CVE-2026-119958 im Security Update Guide.
Werbung
(**) UVP: Unverbindliche Preisempfehlung
Preise inkl. MwSt., zzgl. Versandkosten