Один ответ на внутренний запрос службы распределённых файловых систем (DFS) останавливает серверы Windows Server 2019, 2022 и 2025. Уязвимость получила идентификатор CVE-2026-70111. Нашли её исследователи компании Corelight, изучавшие программные интерфейсы Windows на предмет принудительных подключений. Права администратора злоумышленнику не нужны, доступ к контроллеру домена тоже. Достаточно сетевой близости к машине. Правка вошла в октябрьский набор обновлений Microsoft от 13 октября 2026 года. Признаков применения в реальных атаках на момент раскрытия не зафиксировано.
CVE-2026-70111 в драйвере mup.sys
Как ломается разбор ответа
Драйвер ядра mup.sys разрешает пути DFS. Он отправляет контроллеру домена запрос и ждёт ответа. Такой ответ драйвер считает доверенным, поскольку обмен по протоколам SMB и DFS почти всегда идёт внутри сети организации. На этом доверии и строится атака. Злоумышленник поднимает собственный сервер SMB, принуждает жертву подключиться к нему, а затем возвращает формально корректный ответ с пустым расширенным именем домена. В прежних сборках Windows драйвер сверял длину этого имени. В серверных версиях проверку убрали. Смещение, указывающее на пустую строку, проходит без контроля. Ядро обращается по адресу, где нет данных, и останавливается.
Сбой затрагивает не отдельный процесс, а всю систему. Исследователи воспроизвели его одиннадцать раз из одиннадцати на Windows Server 2022 и три раза из трёх на Windows Server 2019. Windows 10 не затронута: в клиентских сборках нужные проверки сохранились.
Искать ошибку в драйвере специально никто не собирался. Команда Corelight планомерно проверяла интерфейсы удалённого вызова процедур (MS-RPC) на способы принудительного подключения: через них Windows можно заставить открыть исходящее соединение, чтобы перехватить или перенаправить данные аутентификации NTLM. Канал ссылок DFS давно известен как удобный для такого приёма. Вместо ожидаемого результата тестовая машина ушла в синий экран. Причиной оказалась не ошибка в методике, а недостающая проверка в драйвере. Уязвимость нулевого дня дожила до 13 октября.
Что видит администратор
Для организации отказ выглядит как внезапная перезагрузка. В системном журнале остаются события с кодами 41 и 6008, но внятного дампа памяти, объясняющего причину, обычно нет. Автоматическая перезагрузка сокращает простой, зато повторные атаки держат сервер выключенным столько, сколько нужно злоумышленнику. Если целью становятся контроллеры домена, последствия шире: одновременные удары по ним способны нарушить работу домена целиком.
Доступ к сети здесь важнее привилегий. Атакующий, находящийся внутри периметра, отправляет запросы напрямую, и его сервер может работать прямо на рабочей станции. Обмен идёт по внутренним каналам и внешне не отличается от штатного трафика SMB. Отличается только содержимое ответа. В зоне риска оказываются организации, которые держат Windows Server в роли файлового сервера или контроллера домена.
Проверку на пустое расширенное имя убрали не во всех ветках Windows. Клиентская сборка Windows 10 сохранила её и потому под удар не попадает. В серверных сборках защита исчезла, и уязвимость действует на всех трёх поддерживаемых версиях.
Патч и наблюдение за внутренним трафиком
Обновить в первую очередь серверы, которые регулярно обращаются к контроллерам домена за ссылками DFS. Наблюдение на периметре тоже полезно, но одним им ограничиваться нельзя: развязка происходит в обмене между серверами внутри сети. Corelight добавила сигнатуры в набор правил Corelight Feed, они срабатывают на некорректный пакет в момент доставки.
Второй путь - журналы платформы Zeek, открытого средства сетевого мониторинга. При таком сбое соединение устанавливается, обмен проходит, но закрытия не происходит, потому что стек TCP на жертве умирает вместе с ядром. После перезагрузки машина отвечает сбросом на попытки продолжить прежние сессии. Скопление состояний S1, RSTR и RSTRH у одного и того же сервера намекает на перезагрузку, хотя само по себе применение уязвимости не доказывает.
DFS остаётся лишь одним из известных путей к уязвимому драйверу. Исследователи не исключают, что существуют другие способы вызвать тот же сбой. Пока обновление не установлено, любой сервер, до которого дотягивается злоумышленник изнутри сети, можно вывести из строя одним пакетом.
Ссылки
- https://www.cve.org/CVERecord?id=CVE-2026-70111
- https://corelight.com/blog/cve-2026-70111-microsoft-distributed-file-system-0-day
