Keine Zusammenfassung vorhanden.
Was und warum
Die im Juli 2026 veröffentlichten Windows-Updates führen die Durchsetzungsphase von Schutzmaßnahmen ein, die eine Kerberos-Informationsleck-Schwachstelle (CVE‑2026‑20833) adressieren. Diese Phase vollendet den Übergang weg von RC4-basierten Kerberos-Tickets, indem der Prüfmodus entfernt wird und der Durchsetzungsmodus als einziger unterstützter Betriebsmodus für die Verwendung von Kerberos RC4 auf Windows-Domänencontrollern verbleibt.
Mit der Installation des Sicherheitsupdates Juli 2026 erzwingen Domänencontroller das aktualisierte Verhalten bei der Ausstellung von Dienstkontotickets. RC4-basierte Kerberos-Tickets werden unter diesem Durchsetzungsmodell eingeschränkt, und für unterstützte Konfigurationen wird AES-basierte Verschlüsselung erwartet. Diese Änderung trägt dazu bei, die Abhängigkeit von veralteten Verschlüsselungsmethoden zu verringern und richtet die Kerberos-Authentifizierung an aktuellen Sicherheitsstandards aus.
Bereitstellungszeitplan
Diese Änderung tritt mit dem Sicherheitsupdate Juli 2026 in Kraft.
Auswirkungen auf Ihre Organisation
Organisatorische Umgebungen, die noch auf RC4-basierten Kerberos-Diensttickets beruhen, können nach der Installation des Sicherheitsupdates Juli 2026 Authentifizierungsfehler bei der Anforderung von Diensttickets erfahren.
Am stärksten betroffen sind Anwendungen, Dienste oder Geräte, die auf veraltete Verschlüsselungskonfigurationen oder explizit definierte RC4-Nutzung angewiesen sind. Umgebungen, die zuvor im Prüfmodus betrieben wurden, können nach Durchsetzung nicht mehr in diesen Modus zurückkehren.
Workloads, die zuvor Kerberos-Authentifizierungen ohne aktualisierte Verschlüsselungskonfigurationen abgeschlossen haben, funktionieren möglicherweise nicht mehr wie erwartet.
Erforderliche Maßnahmen/Empfehlungen
- Bestätigen Sie, dass alle Dienstkonten und abhängigen Anwendungen AES-basierte Kerberos-Verschlüsselung unterstützen.
- Überprüfen und beheben Sie verbleibende RC4-Abhängigkeiten, die während der vorherigen Prüfphasen identifiziert wurden.
- Überwachen Sie das Systemereignisprotokoll auf Kerberos-bezogene Ereignisse, um Authentifizierungsfehler oder falsch konfigurierte Konten zu erkennen.
- Validieren Sie die Interoperabilität mit Kerberos-Implementierungen und -Diensten außerhalb von Windows.
- Lesen Sie So verwalten Sie die Verwendung von Kerberos KDC mit RC4 bei der Ausstellung von Dienstkontotickets im Zusammenhang mit CVE‑2026‑20833.
Der Prüfmodus und die Rückrolleinstellung RC4DefaultDisablementPhase werden ab dem Sicherheitsupdate Juli 2026 entfernt. Falls RC4 für bestimmte Dienste beibehalten werden muss, ist eine explizite Konfiguration weiterhin möglich, birgt jedoch das Risiko einer Verwundbarkeit gegenüber CVE‑2026‑20833 und sollte nur als vorübergehende Maßnahme verwendet werden.
Compliance-Aspekte
Es wurden keine Compliance-Anforderungen identifiziert. Bitte prüfen Sie dies entsprechend den Anforderungen Ihrer Organisation.
