Експлойт нульового кліку Windows Netlogon CVE-2026-41089 активно атакує контролери домену: посібник до дій
CVE 2026 41089 — це критична (9.8 бала) вразливість віддаленого виконання коду «нульового кліку» у службі Netlogon, яка наразі активно використовується в реальних атаках для захоплення контролерів домену Windows без ж... Центр кібербезпеки Бельгії (CCB) підтвердив активну експлуатацію 1 червня 2026 року — тобто будь...
ОпублікувавВідредаговано за допомогою DeepSeek-V4-Pro
CVE 2026 41089 — це критична (9.8 бала) вразливість віддаленого виконання коду «нульового кліку» у службі Netlogon, яка наразі активно використовується в реальних атаках для захоплення контролерів домену Windows без ж...
Центр кібербезпеки Бельгії (CCB) підтвердив активну експлуатацію 1 червня 2026 року — тобто будь який неоновлений контролер домену з доступом до мережі варто розглядати як потенційно скомпрометований.
Такі платформи, як 0patch, випустили безкоштовний мікропатч для застарілих серверів (2012, 2012 R2), що нейтралізує атаку шляхом зменшення максимального розміру рядка імені користувача, надаючи швидкий захист системам...
What is CVE-2026-41089, a critical Windows Netlogon remote code execution vulnerability now actively exploited in the wild — including its CCVE-2026-41089 enables unauthenticated remote code execution on Windows domain controllers via the Netlogon service. Image: AI-generated editorial illustration.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is CVE-2026-41089, a critical Windows Netlogon remote code execution vulnerability now actively exploited in the wild — including its C. Article summary: Here is the full picture on CVE-2026-41089.. Topic tags: general, general web, government. Reference image context from search candidates: Reference image 1: visual subject "CVE-2026-41089 is a Critical RCE vulnerability affecting Windows Netlogon and has a CVSS score of 9.8. A stack-based buffer overflow flaw (CWE-" source context "May 2026 Patch Tuesday: Updates and Analysis | CrowdStrike" Reference image 2: visual subject "CVE-2026-41089 is a critical Windows Netlogon RCE affecting domain controllers. Learn what is known, how to verify exposure, detect abuse," source context "CVE-2026-41089, Windows Netlogon RCE and the Domain Controller Blast Radius" Style:
openai.com
Критична вразливість у Windows Netlogon перетворилася з рекомендації «терміново оновити» на надзвичайну ситуацію з припущенням про злам. У п'ятницю, 29 травня 2026 року, Центр кібербезпеки Бельгії (CCB) попередив, що зловмисники активно використовують CVE-2026-41089 у реальних атаках, перетворюючи неоновлені контролери домену на головну ціль для повного компрометації корпоративної мережі .
Вразливість була розкрита та закрита компанією Microsoft 12 травня в межах «вівторка патчів». Йдеться про переповнення буфера в стеку в обробнику спеціально сформованих мережевих запитів службою Netlogon. Оскільки Netlogon запускається до автентифікації, зловмиснику в тій самій мережі — або тому, хто може дотягнутися до відкритого DC через маршрутизацію, — достатньо лише одного пакета, щоб виконати довільний код із правами SYSTEM . Кожна година, поки контролери домену лишаються неоновленими, — це вікно можливостей, коли атакувальник може закріпитися в системі так, що пізніший патч цього вже не виправить.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "Експлойт нульового кліку Windows Netlogon CVE-2026-41089 активно атакує контролери домену: посібник до дій"?
CVE 2026 41089 — це критична (9.8 бала) вразливість віддаленого виконання коду «нульового кліку» у службі Netlogon, яка наразі активно використовується в реальних атаках для захоплення контролерів домену Windows без ж...
What are the key points to validate first?
CVE 2026 41089 — це критична (9.8 бала) вразливість віддаленого виконання коду «нульового кліку» у службі Netlogon, яка наразі активно використовується в реальних атаках для захоплення контролерів домену Windows без ж... Центр кібербезпеки Бельгії (CCB) підтвердив активну експлуатацію 1 червня 2026 року — тобто будь який неоновлений контролер домену з доступом до мережі варто розглядати як потенційно скомпрометований.
What should I do next in practice?
Такі платформи, як 0patch, випустили безкоштовний мікропатч для застарілих серверів (2012, 2012 R2), що нейтралізує атаку шляхом зменшення максимального розміру рядка імені користувача, надаючи швидкий захист системам...
CVE-2026-41089 має базову оцінку 9.8 (Критична) за шкалою CVSS 3.1 з вектором AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Простими словами: вона експлуатується через мережу, має низьку складність, не потребує жодних привілеїв і жодної взаємодії з користувачем. Наслідок — тотальна компрометація конфіденційності, цілісності та доступності цільової системи.
Дослідники з кібербезпеки та платформи аналізу загроз характеризують цю вразливість як практично «червоподібну» через можливість експлуатації до автентифікації та центральну роль контролерів домену в корпоративній ідентифікації Windows . Експерти з Action1 влучно описують ризик: «Вразливий контролер домену може перетворити один спеціально сформований мережевий запит на прямий шлях до компрометації всього підприємства» . Джейсон Кікта, технічний директор Automox, застерігає, що «наполовину пропатчені ліси Active Directory — це неприйнятний стан захисту для помилки на DC до автентифікації» і радить адміністраторам обмежувати трафік Netlogon на мережевому рівні на додачу до встановлення патчів .
Публічний код експлойта з'явився на GitHub, що історично пришвидшує масову експлуатацію протягом 24–72 годин . Організаціям варто виходити з того, що автоматизоване сканування та інструменти для атак уже циркулюють.
Які версії Windows Server під загрозою
Вразливість стосується всіх підтримуваних випусків Windows Server, де запущена служба Netlogon, якщо вони не були оновлені після 12 травня 2026 року . Опубліковані списки продуктів від численних вендорів безпеки та NVD називають такі вразливі редакції :
Windows Server 2012 та 2012 R2 (усі встановлення, включно з Server Core)
Windows Server 2016
Windows Server 2019 (включно з Server Core)
Windows Server 2022 (редакції 21H2, 22H2 та 23H2, включно з Server Core)
Windows Server 2025
Проблема присутня в обробнику MS-NRPC і може бути активована через TCP-порт 445 або UDP-порт 389 (порт локатора CLDAP для DC). Тобто стандартних шляхів доступу до контролерів домену цілком достатньо, щоб зловмисник дістався вразливого фрагменту коду .
Як отримати оновлення
Офіційні оновлення безпеки Microsoft
Microsoft випустила патчі для CVE-2026-41089 12 травня 2026 року . Організації мають негайно застосувати відповідне оновлення для своєї збірки Windows Server. База даних вразливостей Rapid7 наводить такі ідентифікатори KB для підтримуваних дистрибутивів :
Windows Server 2012: KB5087470
Windows Server 2012 R2: KB5087471
Windows Server 2016 (1607): KB5087537
Windows Server 2019 (1809): KB5087538
Windows Server 2022 (21H2/22H2): KB5087545
Windows Server 2022 (23H2): KB5087541
Windows Server 2025 (24H2): KB5087539
Усі контролери домену потрібно оновлювати в межах єдиного, стиснутого вікна обслуговування, якщо це операційно можливо, адже вразливість спрацьовує до автентифікації і вже активно експлуатується .
Мікропатч 0patch для застарілих систем
Для організацій, які використовують непідтримувані версії Windows Server і більше не можуть отримувати офіційні оновлення безпеки від Microsoft, компанія Acros Security випустила безкоштовний мікропатч через свою платформу 0patch . Цей мікропатч пропонує мінімальне, хірургічно точне виправлення: він зменшує вдвічі максимальний розмір контрольованого зловмисником рядка імені користувача під час обробки, що ефективно нейтралізує переповнення стеку, не змінюючи непов'язані ділянки коду .
0patch підтвердила доступність мікропатчу для:
Windows Server 2012 (без ESU)
Windows Server 2012 R2 (без ESU)
Мікропатч розгортається через агент 0patch і застосовується в пам'яті, не вимагаючи перезавантаження системи, що особливо цінно для середовищ, де перезапуск контролерів домену потрібно ретельно планувати. 0patch уже давно надає мікропатчі для критичних вразливостей на Windows Server 2008 R2, 2012 та 2012 R2 після завершення їх підтримки .
Невідкладні заходи: як реагувати сьогодні
Встановлення патчу прибирає вразливий код, але не виявляє і не видаляє зловмисника, який міг уже використати CVE-2026-41089 до оновлення. CCB прямо попереджає, що патчінг захищає від майбутньої експлуатації, але не виправляє наслідків попередньої компрометації .
Першочергові дії, рекомендовані CCB
Негайне оновлення з найвищим пріоритетом — застосуйте офіційні оновлення Microsoft за травень 2026 до всіх контролерів домену. Не чекайте наступного вікна обслуговування: це сценарій активної експлуатації .
Посилений моніторинг та детектування — масштабуйте відстеження підозрілої активності на контролерах домену, особливо незвичного трафіку Netlogon або нетипових патернів RPC та LDAP .
Припущення про можливу попередню компрометацію — будь-який контролер домену, який був неоновленим і доступним у мережі між 12 травня і моментом встановлення патчу, потребує судово-технічної перевірки на ознаки вторгнення .
Максимально стиснути вікно оновлень — пройдіться по всіх контролерах домену в якомога меншій кількості циклів обслуговування. Наполовину пропатчений ліс Active Directory — це вразливий ліс .
Повторна верифікація після оновлення — повторно запустіть сканування патчів та перевірку доступності сервісів, щоб переконатися, що жоден вразливий DC не лишився доступним .
Додаткові оборонні заходи від експертів
Сегментуйте контролери домену — обмежте мережевий доступ до контролерів домену так, щоб до них доходив лише явно авторизований трафік управління та інфраструктури. Заблокуйте порти, пов'язані з Netlogon (TCP 445, UDP 389), від ненадійних та звернених до Інтернету сегментів на мережевому кордоні та внутрішніх файрволах.
Обмежте трафік Netlogon на мережевому рівні — окрім хостових файрволів, впровадьте контроль доступу на мережевому рівні, який обмежує, які системи взагалі можуть ініціювати з'єднання до DC через вразливі протоколи.
Посильте захист привілейованих шляхів доступу — перегляньте та мінімізуйте облікові записи з привілейованим доступом до контролерів домену. Компрометація контексту SYSTEM на DC часто веде до викрадення облікових даних і горизонтального переміщення в мережі .
Моніторте активність після експлуатації — шукайте аномальну поведінку служб, несподівані перезавантаження DC, падіння LSASS, створення нових адміністративних облікових записів та аномальні запити Kerberos-квитків. Це може свідчити про експлуатацію або подальші стадії атаки .
Прийміть режим повного припущення про злам — поки не завершено ретельну судово-технічну перевірку, ставтеся до всіх раніше неоновлених контролерів домену як до потенційно скомпрометованих.
Важливе застереження: EPSS і сприйняття ризику
Ймовірність за системою EPSS (Exploit Prediction Scoring System) для CVE-2026-41089 була заявлена на рівні 0,09% . Однак EPSS — це ймовірнісна модель, навчена на історичних даних, і вона не враховує активну експлуатацію, яку вже підтверджено в реальних атаках. Щойно національний орган з кібербезпеки, як-от CCB, випускає попередження про активну експлуатацію, організації повинні пріоритезувати дії на основі підтвердженої реальної загрози, а не лише статистичного прогнозу.
