危危危！Windows Server 終極漏洞 CVE-2026-41089 正被狙擊 冇點擊都畀人 Hack 晒

由於概念驗證 (PoC) 嘅攻擊編碼已經喺 GitHub 上流傳，根據往績，大規模自動化掃描同攻擊通常會喺 24 到 72 小時內全面爆發 。你要假設攻擊工具早就通街都係。

受影響嘅 Windows Server 版本

由 2026 年 5 月 12 日起未有安裝修補程式，而又行緊 Netlogon 服務嘅所有受支援 Windows Server 版本都受影響 。根據各大資安廠商同美國國家漏洞資料庫 (NVD) 嘅資料，受影響嘅版本包括 ：

• Windows Server 2012 同 2012 R2（所有安裝模式，包埋 Server Core）
• Windows Server 2016
• Windows Server 2019（包埋 Server Core）
• Windows Server 2022（21H2、22H2 同 23H2 版本，包埋 Server Core）
• Windows Server 2025

呢個漏洞存在於 MS-NRPC 嘅處理程序入面，攻擊者可以經由 TCP Port 445 或者 UDP Port 389（即係 CLDAP 嘅 DC 定位埠）觸發。換言之，平時網域控制台對外溝通嘅標準 Port，已經足夠成為黑客嘅攻擊途徑 。

邊度有得修補？

微軟官方更新

微軟已經喺 2026 年 5 月 12 日推出咗 CVE-2026-41089 嘅修補程式 。你應該即刻為你嘅 Windows Server 版本裝返對應嘅更新。資安公司 Rapid7 嘅漏洞資料庫列出咗以下各版本嘅 KB 編號 ：

• Windows Server 2012：KB5087470
• Windows Server 2012 R2：KB5087471
• Windows Server 2016 (1607)：KB5087537
• Windows Server 2019 (1809)：KB5087538
• Windows Server 2022 (21H2/22H2)：KB5087545
• Windows Server 2022 (23H2)：KB5087541
• Windows Server 2025 (24H2)：KB5087539

重點提醒：只要運作上許可，請務必喺同一個極短嘅維護時段入面，為「所有」網域控制台進行修補，唔好斬件式更新。因為留低任何一部未修補嘅機，成個 AD Forest 都會處於危險狀態 。

0patch 舊系統微修補程式

對於嗰啲仲行緊舊版、已經冇得再收微軟官方安全更新嘅 Windows Server（例如 Server 2012 系列），Acros Security 公司透過佢哋嘅「0patch」平台，免費提供咗一個「微修補程式」。

呢個微修補程式嘅邏輯好精簡，佢直接將攻擊者可以控制嘅「用戶名」字串長度上限斬半，咁就有效咁阻止咗堆疊溢位嘅發生，完全唔使改動其他無關嘅程式碼 。0patch 確認以下舊系統可以用呢個修補：

• Windows Server 2012（冇買延伸安全性更新 ESU）
• Windows Server 2012 R2（冇買 ESU）

呢種修補係透過 0patch 嘅代理程式部署，直接喺記憶體入面生效，完全唔使重新開機。對於嗰啲難以安排重啟伺服器嘅環境，呢個係一個好實用嘅過渡方案。0patch 一直都有為呢啲舊系統提供「死後支援」嘅漏洞修補 。

緊急應變同防護指引

記住一個重點：修補程式只係拆走個漏洞，並唔會幫你偵測或者清除已經潛伏咗喺系統入面嘅黑客。 CCB 明確指出，更新只係保護你唔好再俾人用呢個方法攻擊，但唔能夠修復「已經發生咗」嘅入侵 。

CCB 建議嘅首要行動

1. 立即更新，列為最優先任務 — 即刻為所有網域控制台安裝微軟 2026 年 5 月嘅安全更新。唔好再等下個維護窗口，呢個係進行中嘅攻擊事件 。
2. 加強監控同偵測 — 全面升級對網域控制台嘅監控，特別留意異常嘅 Netlogon 流量、或者唔尋常嘅 RPC 同 LDAP 連線模式 。
3. 假設可能已被入侵 — 任何喺 5 月 12 日至你裝更新之前曝露過喺網絡、又未修補嘅網域控制台，都需要做一次徹底嘅鑑識調查，睇下有冇入侵痕跡 。
4. 壓縮修補時程 — 用最少嘅維護次數，一口氣為所有 DC 更新。一個得一半機修補好嘅 AD Forest，同冇著衫冇分別 。
5. 更新後要再三確認 — 更新完之後，要再用掃描工具檢查多次，確保已經冇任何有漏洞嘅 DC 曝露喺外面 。

專家建議嘅其他防護措施

• 網絡隔離網域控制台 — 限制網絡存取權限，只准明確授權嘅管理同基礎設施流量接觸 DC。喺網絡邊界同內部防火牆，都要封鎖來自唔信任區域對 Netlogon 相關 Port（TCP 445, UDP 389）嘅連線。
• 限制 Netlogon 網絡流量 — 除咗主機防火牆之外，網絡層面都要做存取控制，限制邊啲系統可以向 DC 發起呢類協議嘅連線。
• 強化特權帳號管理 — 重新審查同減少可以存取網域控制台嘅高權限帳號。因為一旦 DC 嘅 SYSTEM 權限俾人拎咗，黑客下一步通常就係竊取憑證同橫向移動 。
• 監察入侵後嘅可疑行為 — 留意服務異常、DC 無故重新開機、LSASS 程序崩潰、新增管理員帳號、或者異常嘅 Kerberos 票證請求。呢啲都係漏洞被利用或者後續攻擊嘅跡象 。
• 採取「假設已被入侵」嘅心態 — 喺未完成徹底鑑識之前，請將所有之前未修補過嘅網域控制台，一律當作已經被黑客控制咁處理。

特別提醒：唔好盡信評分系統

雖然有啲平台（例如 EPSS）將呢個漏洞被利用嘅機率評得好低（報過 0.09%），但 EPSS 係一個基於過往數據訓練出嚟嘅統計模型，佢並無考慮到比利時國家級網絡安全機構已經發出嘅「確認正被積極利用」嘅真實警報。當有呢啲權威警示嘅時候，你嘅防禦判斷，一定要以證實咗嘅真實威脅作為基礎，而唔係單靠預測機率。