CVE-2026-62823 ist eine Schwachstelle zur Remotecodeausführung im Windows DHCP Server, deren Ausnutzung Microsoft für wahrscheinlicher hält. Der Angriffsvektor aus dem angrenzenden Netz ist relevant, weil Enterprise-DHCP absichtlich über lokale Segmente und Relay Agents erreichbar ist. Ein Dienst, der neue Clients hört, bevor sie eine Adresse besitzen, lässt sich nicht mit denselben Expositionsannahmen bewerten wie ein gewöhnlicher authentifizierter Management-Endpunkt.
Bedeutung für den Betrieb
Das Inventar verbindet Server mit Scopes, Relay-Adressen, Failoverpartnern, der Autorisierung in Active Directory und den abhängigen Standorten. Ein scheinbar redundantes Paar kann dieselbe Patchlücke, denselben Upstream-Switch, dieselbe Relay-Konfiguration oder denselben Administrationsfehler teilen. Das Team muss wissen, welcher Server weiter Leases ausstellt, wie lange Partner-Down-Übergänge dauern und was während der Wartung mit Reservierungen und Richtlinien geschieht.
Ein kontrollierter Patch beginnt mit Replikations- und Failoverzustand, aktuellem Konfigurationsexport, Schutz der Lease-Datenbank und der Suche nach veralteten autorisierten Servern. Danach wird ein Partner aktualisiert. Dienstzustand, Leases, Optionen, Reservierungen, DNS-Registrierung und Relay-Verhalten werden aus repräsentativen Netzen bestätigt, bevor der zweite Partner folgt. Eine erfolgreiche Konsolenanmeldung beweist nicht, dass eine Außenstelle die richtige Konfiguration erhält.
Die Sicherheitsreaktion sollte zugleich die Exposition verkleinern. Relay-Listen, Firewallregeln, Managementschnittstellen und ungenutzte Scopes verdienen eine Prüfung. Alte DHCP-Server, die nach Migrationen autorisiert bleiben, erzeugen betriebliche Mehrdeutigkeit und vermeidbare Angriffsfläche. Eine überflüssige Rolle zu entfernen ist sicherer, als dauerhaft einen weiteren Notfall-Patchpfad zu pflegen.
Praktische Konsequenz
Die praktische Konsequenz: DHCP-Patching ist eine Änderung am Netzwerkdienst und nicht nur ein Windows-Update. Failoverzustand, Relay-Erreichbarkeit, Lease-Kontinuität, Autorisierung und Clienttests gehören in ein Runbook. Belastbar ist die Redundanz erst, wenn Clients während der Wartungsfolge weiterhin die richtige Konfiguration erhalten.