Active Directory Federation Services: Spoofing durch schwache Authentifizierung

Zusammenfassung

Microsoft Active Directory Federation Services (AD FS) enthält eine Spoofing-Schwachstelle aufgrund schwacher Authentifizierung. Ein nicht autorisierter Angreifer im Netzwerk kann Spoofing durchführen, wobei kein Berechtigungsnachweis und keine Benutzerinteraktion nötig sind, Microsoft stuft die Angriffskomplexität jedoch als hoch ein. Das Risiko ist dort am grössten, wo der AD FS-Endpunkt aus dem Internet erreichbar ist, da AD FS Single Sign-on für weitere Anwendungen bereitstellt. Die Sicherheitsupdates von Microsoft vom 13. Oktober 2026 beheben das Problem.

Betroffen

• Windows 10 Version 1607: 10.0.14393.0 bis vor 10.0.14393.9612
• Windows 10 Version 1809: 10.0.17763.0 bis vor 10.0.17763.9376
• Windows Server 2016 (inklusive Server Core): 10.0.14393.0 bis vor 10.0.14393.9612
• Windows Server 2019 (inklusive Server Core): 10.0.17763.0 bis vor 10.0.17763.9376
• Windows Server 2022: 10.0.20348.0 bis vor 10.0.20348.5761
• Windows Server 2025 (inklusive Server Core): 10.0.26100.0 bis vor 10.0.26100.33650
• Die NVD-CPE listet nur Windows 10 1607, massgebend ist daher der CNA-Eintrag.

Behoben in

• Windows 10 Version 1607 x64: KB5126868 (Build 14393.9612)
• Windows 10 Version 1607 32-Bit: KB-Nummer nicht bestätigt; die MSRC-Seite nennt 5126655, vor dem Rollout auf MSRC prüfen
• Windows 10 1809 sowie Windows Server 2016, 2019, 2022, 2025: Sicherheitsupdates vom Oktober 2026 für die oben genannten Builds; KB-Nummern auf MSRC bestätigen

Umgehung

Unbekannt. Microsoft dokumentiert keine Workaround.

• Falls das Patchen verzögert wird, den Netzwerkzugriff auf AD FS-Endpunkte einschränken (allgemeine Empfehlung, keine von Microsoft dokumentierte Massnahme).

Ausnutzung

• Nicht im CISA KEV aufgeführt.
• CISA SSVC-Daten: Exploitation none, automatisierbar nein.
• Microsoft stuft die Reife des Exploit-Codes als Unproven ein.
• EPSS liegt bei etwa 0.7%.
• Zum Zeitpunkt der Recherche ist kein öffentlicher Proof-of-Concept bekannt.

Unsere Empfehlung

• Alle AD FS-Server und Proxys identifizieren, einschliesslich Windows Server 2016 bis 2025 sowie aller Windows 10 1607- oder 1809-Systeme.
• Die Updates vom Oktober 2026 installieren und dabei die KB-Nummer verwenden, die auf der MSRC-Seite zur jeweiligen Architektur passt.
• Prüfen, ob AD FS noch genutzt wird und ob ein Endpunkt aus dem Internet erreichbar ist; wenn nicht zwingend nötig, den Zugriff einschränken.
• Den Supportstatus von Windows 10 1607 bei Microsoft klären (Updates laut Microsoft Release Health beendet) und ESU oder ein Upgrade planen.
• Zusammen mit den gleichentags veröffentlichten AD FS-Spoofing-CVEs CVE-2026-83646 und CVE-2026-83511 patchen und auf öffentliche PoC oder KEV-Einträge achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• MSRC advisory CVE-2026-83674 msrc.microsoft.com
• KB5126868 Windows 10 1607 security update support.microsoft.com
• Microsoft release health: Windows 10 1607 and Windows Server 2016 learn.microsoft.com
• CNA data mirror (Vulners) vulners.com
• NVD mirror (Vulners) vulners.com
• OpenCVE CVE-2026-83674 app.opencve.io
• Strix CVE-2026-83674 www.strix.ai
• SonicWall: Microsoft October 2026 security bulletin coverage www.sonicwall.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:27.