CVE-2026-41089 Erkennungstool

Dies ist ein CVE-2026-41089-Erkennungsskript für die defensive Schwachstellenüberprüfung. Die Schwachstelle wurde von Microsoft im Mai 2026-Sicherheitsupdate als Windows Netlogon Remote Code Execution-Schwachstelle offengelegt.

Das Skript sendet keine Exploit-Pakete und versucht nicht, Netlogon-Ausnahmen auszulösen. Es liest zuerst die Dateiversion der betroffenen Komponente netlogon.dll, prüft dann die installierten KBs und verwendet erst zuletzt die vollständige Build-Nummer des Systems als Rückfallebene, um Fehlalarme durch alleinige Abhängigkeit von der OS-Version zu reduzieren.

Verwendung

Überprüfung des lokalen Windows-Hosts:

python .\cve_2026_41089_check.py

Überprüfung eines entfernten Windows-Hosts per CIM/WMI:

python .\cve_2026_41089_check.py --target dc01.example.com --format json

Überprüfung mit Offline-Asset-Informationen:

python .\cve_2026_41089_check.py --input-json .\sample_facts.json --format csv

Aktuelle MSRC-Reparaturinformationen anzeigen:

python .\cve_2026_41089_check.py --update-msrc

Exit-Codes:

• 0: Keine anfälligen Hosts gefunden
• 1: Ausführung oder Abfrage fehlgeschlagen
• 2: Mindestens ein potenziell betroffener Host gefunden

Erkennungslogik

Die Beweispriorität ist wie folgt:

1. netlogon.dll-Dateiversion: Direkte Prüfung der Version der anfälligen Komponente, höchste Priorität.
2. Installierte KBs: Abgleich mit von Microsoft veröffentlichten Fix-Updates.
3. Vollständige OS-Build-Nummer: Nur als Rückfallebene verwendet, wenn die Komponentenversion nicht verfügbar ist.
4. Domain-Controller-Rolle: Das Ausnutzungsszenario dieser Schwachstelle zielt auf Windows Server als Domain-Controller.

Ergebnisstatus:

• patched: Die Komponentenversion erreicht die reparierte Version, oder eine passende KB ist installiert.
• vulnerable: Die netlogon.dll-Komponentenversion auf dem Domain-Controller ist niedriger als die reparierte Version, oder die Komponentenversion ist nicht verfügbar, aber System-Build und KB-Beweise zeigen, dass sie immer noch unter dem Reparaturniveau liegt.
• not_affected: Nicht im betroffenen Produkt-/Komponentenumfang, oder der Host ist kein Domain-Controller.
• unknown: Nicht genügend Informationen für eine Beurteilung.

Das evidence-Feld in der Ausgabe gibt die Entscheidungsgrundlage an, z. B.:

• netlogon.dll_version
• installed_kb
• os_build_fallback
• domain_role

Reparierte Versionen

Datenquelle: Microsoft MSRC 2026-May CVRF.

Beispiel für Offline-Assets

{
  "target": "dc01",
  "caption": "Microsoft Windows Server 2019 Standard",
  "version": "10.0.17763",
  "build_number": "17763",
  "ubr": "8000",
  "product_type": 2,
  "domain_role": 5,
  "netlogon_file_version": "10.0.17763.8000",
  "installed_kbs": []
}

Über aktive Schwachstellenverifikation

Dieses Projekt bietet keine ausnutzungsorientierte Erkennung, Absturzverifikation oder Anfragekonstruktion zur Reproduktion von RCE. Solche Verifikationen sind für produktive Domain-Controller risikoreich und für die Veröffentlichung in öffentlichen Repositories ungeeignet.

Zur weiteren Reduzierung von Fehlalarmen wird empfohlen, die folgenden defensiven Beweise zu kombinieren:

• Auslesen der Dateiversion von C:\Windows\System32\netlogon.dll
• Abgleich der KB-Installationsaufzeichnungen im Patch-Management-System
• Bestätigung, ob der Host ein Domain-Controller ist
• Überprüfung des Änderungsfensters und des Neustartstatus

Referenzen

• Microsoft MSRC: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41089
• CVE-Eintrag: https://www.cve.org/CVERecord?id=CVE-2026-41089
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-41089

Haftungsausschluss

Dieses Projekt dient ausschließlich der defensiven Überprüfung in autorisierten Umgebungen. Vor der Umsetzung in der Produktion überprüfen Sie die Ergebnisse bitte in Kombination mit den offiziellen Microsoft-Ankündigungen, dem Patch-Management-System und den Änderungsaufzeichnungen.