Microsoft исправила удалённое выполнение кода и отказ в обслуживании в Windows Active Directory

Microsoft выпустила ноябрьские обновления безопасности с исправлениями двух уязвимостей в Windows Active Directory. Первая позволяет авторизованному атакующему выполнить код на уязвимой системе по сети, вторая приводит к отказу в обслуживании. Обе ошибки требуют лишь низких привилегий и не требуют действий пользователя. Патчи нужно установить на Windows 10 и Windows 11, а также на Windows Server 2016, 2019, 2022 и 2025, включая установки Server Core.

Две ошибки в одном выпуске

Обе уязвимости Microsoft оценила уровнем Important. Это ниже максимального уровня, но для службы каталогов такие ошибки всё равно требуют внимания: Active Directory отвечает за аутентификацию и авторизацию в домене, поэтому сбой или компрометация этой службы сказывается на всей инфраструктуре, а не на одной машине.

По данным Microsoft, на момент выпуска патчей обе уязвимости не были публично раскрыты и не использовались в атаках. Это сведения вендора на дату бюллетеня, а не гарантия на будущее: после публикации патча детали обычно становятся доступны большему числу исследователей, и окно между установкой обновления и попытками эксплуатации сокращается.

Условия атаки

Обе ошибки объединяет вектор доступа: атака идёт по сети, атакующему нужны низкие привилегии, участие пользователя не требуется. На практике «низкие привилегии» означают обычную учётную запись, которая может пройти аутентификацию в домене. Отдельный пользователь не должен открывать документ, переходить по ссылке или запускать программу.

Именно сочетание сетевого доступа и низких привилегий делает эти уязвимости практической проблемой. Скомпрометированная рядовая учётная запись может стать точкой входа для атаки на контроллер домена. Злоумышленнику не нужны права администратора домена заранее: он приходит с обычным аккаунтом и дальше пытается повысить свои возможности.

Что позволяет CVE-2026-119948

CVE-2026-119948 - переполнение буфера в стеке, CWE-121. Ошибка такого класса возникает, когда программа копирует в стековый буфер больше данных, чем он рассчитан выдержать, и выходит за его границы. При удачном раскладе это позволяет перезаписать управляющие данные и направить выполнение кода по пути, выбранному атакующим.

Оценка CVSS v3.1 - 7.5, временная - 6.5. Вектор AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H расшифровывается так: атака по сети, высокая сложность, низкие привилегии, без участия пользователя, в пределах одной системы, высокое влияние на конфиденциальность, целостность и доступность. Высокая сложность означает, что успех зависит от удачного стечения обстоятельств: состояния памяти, раскладки адресов, конкретной конфигурации. Это снижает вероятность массовой автоматической эксплуатации, но не отменяет риск для тех, кто станет целью.

Конкретную уязвимую функцию Microsoft не раскрывает. Поэтому заранее неизвестно, какой именно компонент службы каталогов нужно нагружать и какие предварительные условия, кроме сетевого доступа и учётной записи, должны совпасть. Для защищающейся стороны это аргумент в пользу установки обновления, а не попытки угадать вектор и закрыть отдельный сервис.

Последствия успешной эксплуатации - выполнение кода с правами уязвимого процесса. На контроллере домена это уже серьёзно: такой процесс обычно располагает широкими правами в каталоге. Даже если атакующий не получит сразу полный контроль над доменом, он сможет закрепиться и развивать атаку дальше.

Отказ в обслуживании через CVE-2026-105559

CVE-2026-105559 - разыменование недоверенного указателя, CWE-822. Программа получает от внешнего источника значение, которое использует как адрес в памяти, не проверив его корректность. Обращение по такому адресу приводит к аварийному завершению процесса или к непредсказуемому поведению службы.

Оценка CVSS v3.1 - 6.5, временная - 5.7. Вектор AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H: атака по сети, низкая сложность, низкие привилегии, без участия пользователя, влияние только на доступность. Конфиденциальность и целостность не страдают.

Для Active Directory отказ в обслуживании - не косметический сбой. Если перестаёт отвечать служба, которая проверяет учётные данные, пользователи не могут войти в систему, приложения теряют доступ к каталогу, а административные операции останавливаются. Низкая сложность эксплуатации означает, что для повторяющихся попыток не нужно редкого стечения условий: достаточно сетевого доступа и учётной записи с минимальными правами. Поэтому именно эта ошибка при массовых попытках может дать заметный эффект.

Затронутые версии

В бюллетене перечислены клиентские и серверные системы: Windows 10, Windows 11, Windows Server 2016, 2019, 2022 и 2025. Отдельно указаны установки Server Core, у которых нет полного графического интерфейса. Такие серверы часто патчат реже или не замечают в инвентаризации, поэтому их стоит проверить в первую очередь.

Номера сборок отличаются по версиям и редакциям. Ориентироваться на один общий номер нельзя: нужно ставить обновление именно для своей ветки и своей редакции, иначе патч просто не установится или окажется не тем, что нужно. Исправления вышли 11 ноября 2026 года в составе ноябрьского Patch Tuesday.

Порядок обновления

Начинайте с контроллеров домена. Именно они держат каталог, и именно они дают атакующему максимальную выгоду при успешной эксплуатации. Затем закрывайте рядовые серверы, после них - рабочие станции.

Обновление контроллеров домена требует перезагрузки, а значит планирования: прерывание работы службы каталогов сказывается на всех, кто в этот момент аутентифицируется. Проверьте репликацию между контроллерами, прежде чем обновлять следующий, и не перезагружайте весь набор одновременно.

Если в инфраструктуре есть тестовый контур, прогоните патч сначала там. Это особенно полезно, когда в домене есть сторонние приложения и службы, завязанные на каталог: иногда они болезненно реагируют на изменения в компонентах аутентификации.

Если обновиться нельзя

Мер, полностью заменяющих патч, для этих ошибок нет. Пока обновление не установлено, снижайте поверхность атаки ограничивающими мерами: сокращайте число учётных записей, которые могут обращаться к службам каталога по сети, и не давайте обычным пользователям лишних прав в домене. Сегментируйте сеть так, чтобы рабочие станции не имели прямого доступа к контроллерам домена сверх необходимого. Отслеживайте аварийные завершения служб каталога и аномальные подключения к ним: и для отказа в обслуживании, и для подготовки эксплуатации переполнения такие признаки полезны.

Эти меры уменьшают вероятность и цену атаки, но не устраняют ошибку в коде. Их стоит рассматривать как отсрочку, а не как замену обновлению.

Что проверить после установки

Проверьте не факт выхода патча, а факт его установки. Сверьтесь со списком систем, которые действительно получили обновление, и убедитесь, что контроллеры домена перезагружены. Отдельно пройдитесь по установкам Server Core: они легко выпадают из отчётов, если инвентаризация опирается на графические агенты.

Проверьте также редакции: обновление, выпущенное для одной ветки, не встанет на другую. Если в отчётах есть системы с ошибкой установки, разберите каждую: молча пропущенный контроллер домена сводит на нет аккуратность всей остальной работы.

В первую очередь обновите контроллеры домена и установки Server Core, затем остальные серверы и рабочие станции. После этого проверьте, что обновление действительно установлено и системы перезагружены, и только потом считайте задачу закрытой.