Skydd för CVE-2025-26647 (Kerberos-autentisering)

8 april 2025: Inledande distributionsfas – granskningsläge

Den första distributionsfasen (granskningsläge ) börjar med uppdateringarna som släpptes 8 april 2025. Dessa uppdateringar ändrar beteendet som identifierar säkerhetsrisken för rättighetsökning som beskrivs i CVE-2025-26647 , men den tillämpas inte från början.

I granskningsläge loggas händelse-ID: 45 på domänkontrollanten när en Kerberos-autentiseringsbegäran tas emot med ett osäkert certifikat. Autentiseringsbegäran tillåts och inga klientfel förväntas.

Om du vill aktivera beteendeändringen och vara säker från säkerhetsrisken måste du se till att alla Windows-domänkontrollanter uppdateras med en Windows-uppdateringsversion den 8 april 2025 eller senare, och registernyckelinställningen AllowNtAuthPolicyBypass är inställd på 2 för att konfigurera för tvingande läge.

Om domänkontrollanten i tvingande läge får en Kerberos-autentiseringsbegäran med ett osäkert certifikat loggar den äldre händelse-ID: 21 och nekar begäran.

Så här aktiverar du de skydd som erbjuds av den här uppdateringen:

1. Tillämpa Windows-uppdateringen som släpptes den 8 april 2025 eller senare på alla domänkontrollanter i din miljö. När du har installerat uppdateringen är registervärdet AllowNtAuthPolicyBypass inställt på 1 , vilket aktiverar NTAuth-kontrollen och varningshändelser i granskningsloggen.
   
   VIKTIG Om du inte är redo att fortsätta med att tillämpa de skydd som erbjuds av den här uppdateringen anger du registernyckeln till 0 för att tillfälligt inaktivera den här ändringen. Mer information finns i avsnittet Registernyckelinformation .

2. Övervaka nya händelser som visas i domänkontrollanter för att identifiera berörda certifikatutfärdare som inte ingår i NTAuth-arkivet. Det händelse-ID du behöver övervaka är händelse-ID: 45. Mer information om dessa händelser finns i avsnittet Granskningshändelser .

3. Kontrollera att alla klientcertifikat är giltiga och kedjade till en betrodd utfärdande certifikatutfärdare i NTAuth-arkivet.

4. När alla händelse-ID: 45 händelser har lösts kan du gå vidare till tvingande läge. Det gör du genom att ange registervärdet AllowNtAuthPolicyBypass till 2. Mer information finns i avsnittet Registernyckelinformation .
   
   Not Vi rekommenderar att du tillfälligt fördröjer inställningen AllowNtAuthPolicyBypass = 2 tills du har tillämpat Windows-uppdateringen som släpptes efter maj 2025 på domänkontrollanter som tjänstar självsignerad certifikatbaserad autentisering som används i flera scenarier. Detta omfattar domänkontrollanter som tjänst Windows Hello för företag Key Trust och domänansluten autentisering med offentlig enhetsnyckel.

Juli 2025: Tillämpad som standardfas

Uppdateringar som släpptes i eller efter juli 2025 tillämpar NTAuth Store-kontrollen som standard. Registernyckelinställningen AllowNtAuthPolicyBypass gör det fortfarande möjligt för kunder att gå tillbaka till granskningsläget om det behövs. Möjligheten att inaktivera den här säkerhetsuppdateringen helt tas dock bort.

Oktober 2025: Tillämpningsläge

Uppdateringar som släpptes i eller efter oktober 2025 upphör Microsofts support för registernyckeln AllowNtAuthPolicyBypass. I det här skedet måste alla certifikat utfärdas av myndigheter som ingår i NTAuth-arkivet. 

Registernyckelinformation

Följande registernyckel gör det möjligt att granska sårbara scenarier och sedan tillämpa ändringen när sårbara certifikat har åtgärdats. Registernyckeln skapas inte automatiskt. Hur operativsystemet fungerar när registernyckeln inte är konfigurerad beror på vilken fas av distributionen den är i.

AllowNtAuthPolicyBypass

Granskningshändelser

Händelse-ID: 45 | Granskningshändelse för NT-autentiseringsarkivkontroll

Administratörer bör watch för följande händelse som lagts till av installationen av Windows-uppdateringar som släpptes den 8 april 2025 eller senare. Om det finns ett certifikat innebär det att ett certifikat har utfärdats av en myndighet som inte ingår i NTAuth-arkivet.

Händelse-ID: 21 | AS-REQ Failure Event

När du har adresserat Kerberos-Key-Distribution-Center Event 45 anger loggningen av den här allmänna, äldre händelsen att klientcertifikatet fortfarande INTE är betrott. Händelsen kan loggas av flera orsaker, varav en är att ett giltigt klientcertifikat INTE är kedjat till en utfärdande certifikatutfärdare i NTAuth-arkivet.