CVE-2026-41089: de Netlogon-fout die Windows-domeinen waarschuwt

CVE-2026-41089 is uitgegroeid tot een van de meest kritieke kwetsbaarheden van het jaar voor Microsoft-omgevingen. Het lek betreft Windows Netlogon en heeft een CVSS-score van 9,8. Het maakt remote code execution mogelijk op servers die fungeren als domeincontrollers. Wat de urgentie verhoogt, is dat het Belgische Cybersecurity Centrum op 29 mei haar waarschuwing heeft geüpdatet om actieve exploitatie in de natuur te bevestigen.

Deze kwetsbaarheid maakte deel uit van Patch Tuesday in mei 2026, een brede update waarin Microsoft meer dan honderd fouten in verschillende producten heeft verholpen. Aanvankelijk werd er geen openbare exploitatie gemeld. Die situatie veranderde echter snel, en wat ooit als een gewone patchcyclus leek, is nu een prioriteit voor systeembeheerders, cybersecurityteams en continuïteitsverantwoordelijken.

Het risico is eenvoudig te begrijpen: als een aanvaller code kan uitvoeren als SYSTEM op een domeincontroller, heeft hij niet slechts één server overgenomen. Hij heeft de kern van het vertrouwen binnen het Windows-ecosysteem aangetast.

Waarom is een fout in Netlogon zo gevaarlijk?

Netlogon is geen periferiecomponent. Het is een cruciale service binnen Active Directory die betrokken is bij authenticatieprocessen binnen het domein. Domeincontrollers gebruiken het om vertrouwenrelaties te valideren, authenticaties te beheren en de logica te ondersteunen die ervoor zorgt dat gebruikers, apparaten en services binnen een bedrijfsnetwerk functioneren.

Volgens het CCB-advies houdt de exploitatie van CVE-2026-41089 in dat er een speciaal gemanipuleerde netwerkrequest wordt verzonden naar een Windows-server die als domeincontroller fungeert. Als het aanvalsscenario slaagt, kan de Netlogon-service de aanvraag verkeerd afhandelen en code uitvoeren met SYSTEM-privileges. Dit vereist geen voorafgaande gebruikersreferenties of interactie.

Zero Day Initiative beschreef deze kwetsbaarheid expliciet als een stack-based buffer overflow en classificeerde het als mogelijk “wormable”. Dat betekent niet dat er op dit moment een actief uitgerold wormnet is, maar wel dat de aard van het lek de mogelijkheid biedt tot automatische verspreiding, mits iemand een betrouwbare exploit ontwikkelt en kwetsbare netwerken vindt.

Het probleem stopt niet bij het aanbrengen van een patch

De directe aanbeveling is om zo snel mogelijk de mei 2026-updates toe te passen op alle ondersteunde domeincontrollers. Maar het is cruciaal te beseffen dat een patch slechts het begin is. Als een domein al is blootgesteld of als er vermoedens zijn van exploitatie, moet de reactie veel verder gaan dan alleen patchen.

Een gecompromitteerde domeincontroller kan een aanvaller toegang geven tot uiterst gevoelige informatie. Scenario’s als het dumpen van de NTDS.dit-database, het verkrijgen van hashes van wachtwoorden, het creëren van persistence-accounts, het manipuleren van privilege-groepen, aanpassen van groepsbeleid of het voorbereiden van grootschalige ransomware-implementaties behoren tot de ernstigste risico’s.

Deze kwetsbaarheid herinnert ons aan Zerologon qua impact, hoewel het niet hetzelfde lek of dezelfde technische werking is. De vergelijking geeft het bereik weer: wanneer een aanvaller de controle over een domeincontroller krijgt, is dat niet slechts een incidentele inbraak, maar een fundamenteel vertrouwen- en identiteitprobleem.

De juiste vraag is niet alleen “Hebben we gepatcht?”, maar ook “Kunnen we bewijzen dat we niet zijn gecompromitteerd voordat we patchen?”. Als het antwoord nee is, moet er een grondig onderzoek plaatsvinden.

Wat moeten IT-teams doen?

Begin met het inventariseren van alle domeincontrollers, niet alleen de hoofdservers. Veel organisaties hebben secundaire DC’s, replikas op verschillende locaties, verouderde machines of systemen die niet regelmatig worden gecontroleerd. CVE-2026-41089 vereist een helder beeld van het volledige netwerk.

Vervolgens moet het patchen snel worden gepland en uitgevoerd, liefst binnen een vaste, coördinateerde window. In Active Directory vermindert het gelijktijdig updaten van alle domeincontrollers de blootstellingsduur en voorkomt dat kwetsbare knooppunten lange tijd onbeschermd blijven. Controleer na herstart de werking van replicatie, authenticatie, DNS, groepsbeleid en kritieke diensten.

Systemen die niet worden ondersteund, vormen de grootste uitdaging. Indien bijvoorbeeld Windows Server 2008 R2, 2008 of 2003 in productie worden gebruikt, moeten deze als risicovol worden beschouwd. Zonder officiële patches is isolatie, het toepassen van compensatiesystemen, het beperken van Netlogon en RPC-verkeer, virtual patching (indien mogelijk) en het versnelde afbouwen van deze systemen de juiste strategie. Het in productie houden van verouderde domeincontrollers is geen technische schuld meer, maar een directe beveiligingsrisico.

Signalen van mogelijke exploitatie

Detectie is even belangrijk als patchen. Het CCB adviseert het versterken van de monitoring- en detectiemogelijkheden om verdachte activiteiten gerelateerd aan deze kwetsbaarheid te identificeren. In Windows-omgevingen betekent dat het overzicht houden op logs, plus telemetry van EDR, SIEM, NDR en identiteitsplatformen.

Enkele tekenen om alert op te zijn: onverwachte herstarts of Netlogon-diensten die uitvallen, verdacht netwerkverkeer van systemen die dat niet zouden moeten doen, vreemde authenticatiepogingen op domeincontrollers, onvoorziene accountcreaties, wijzigingen in privilegegroepen, aanpassingen in GPO’s, het uitgeschakeld hebben van beveiligingstools of ongebruikelijke toegang tot gevoelige Active Directory-gegevens.

Het is tevens verstandig om replicatie-LOGs, veranderingen in kritieke objecten, gebruik van beheerdersreferenties buiten werktijd en eventuele bewegingen van gebruikers naar domeincontrollers te controleren. Bij echte aanvallen is exploitatie maar de eerste stap; de uitdaging voor de aanvaller is om controle te consolideren en wachtwoorden te verkrijgen.

Bij tekenen van compromittering moet de reactie escaleren naar een Active Directory-incident: forensisch onderzoek, controle van beheeraccounts, wachtwoordrotatie, diepteonderzoek naar persistence, controle van backups en in ernstige gevallen, gedeeltelijke reconstructie van trustrelaties.

De les: Active Directory blijft cruciale infrastructuur

CVE-2026-41089 herinnert ons eraan dat, ondanks de verschuiving naar cloud, IA, containers en SaaS, Active Directory nog altijd een van de meest kritieke onderdelen van de bedrijfsinfrastructuur blijft. Ook al is een deel van de identity verplaatst naar Azure AD/Entra ID en draaien veel applicaties in de cloud, de Windows-domeincontroller keep de authenticatie, policies, permissies, oude servers en applicaties in veel organisaties in stand.

Daarom verdienen domeincontrollers speciale aandacht: ze moeten gesegmenteerd, zorgvuldig gemonitord, up-to-date, met strenge toegangscontroles en gescheiden van niet-gerelateerde systemen. Het delen van domeinrol met irrelevante software of tools verhoogt het risico onnodig.

Een realistische patchstrategie is noodzakelijk. Een Patch Tuesday moet niet altijd wachten op de volgende cycle. Bij een remote code execution zonder authenticatie en actieve exploitatie moet een organisatie snel kunnen handelen, binnen dagen in plaats van weken.

Deze kwetsbaarheid is niet alleen een technisch probleem — het is een operationele alert: goed inventorybeheer, segmentatie, telemetry, backups en effectieve responsplannen kunnen het verschil maken. Het onderhouden van oude controllers, een vlakke netwerkarchitectuur en improvisatie bij patchen vergroten juist het risico.

Active Directory blijft een hoeksteen van cyberweerbaarheid. CVE-2026-41089 onderstreept dat nog eens, en dat mag niet worden genegeerd.

Veelgestelde vragen

Wat is CVE-2026-41089?
Het is een kritieke kwetsbaarheid voor remote code execution in Windows Netlogon, die impact heeft op Windows-servers die dienen als domeincontrollers.

Waarom is het zo ernstig?
Omdat het een aanvaller toestaat code uit te voeren als SYSTEM op een domeincontroller, zonder authenticatie of gebruikersinteractie, wat het vertrouwen in het hele domein ondermijnt.

Wordt deze kwetsbaarheid al geëxploiteerd?
Het Belgische Cybersecurity Centrum heeft op 29 mei 2026 haar waarschuwing geüpdatet dat CVE-2026-41089 in de natuur wordt geëxploiteerd.

Wat moeten organisaties doen?
Snel patchen van ondersteunde domeincontrollers, niet-ondersteunde systemen isoleren, Netlogon/RPC-verkeer beperken en zoeken naar signalen van eerdere exploitatie.