Windows Netlogon RCE 零點擊漏洞 CVE-2026-41089 已遭積極攻擊，企業應立即採取「假設已遭入侵」緊急應變

公開的概念驗證 (PoC) 攻擊程式碼已出現在 GitHub 上。根據歷史經驗，這通常會在 24 至 72 小時內導致大規模的自動化攻擊 。企業應假設自動掃描與攻擊工具已在網路上廣泛流傳。

受影響的 Windows Server 版本

此漏洞影響所有在 2026 年 5 月 12 日後尚未修補、且運行 Netlogon 服務的受支援 Windows Server 版本 。根據多家安全廠商與美國國家漏洞資料庫 (NVD) 發布的產品清單，以下版本均存在風險 ：

• Windows Server 2012 與 2012 R2（包含 Server Core 安裝的所有版本）
• Windows Server 2016
• Windows Server 2019（包含 Server Core）
• Windows Server 2022（21H2、22H2 及 23H2 版本，包含 Server Core）
• Windows Server 2025

該問題存在於 MS-NRPC 處理常式中，可透過 TCP 連接埠 445 或 UDP 連接埠 389（又稱 CLDAP 協定，負責定位 DC 的連接埠）觸發 。這意味著網域控制站常用的標準暴露路徑，就足以讓攻擊者接觸到這個脆弱的程式碼。

修補程式取得管道

微軟官方資訊安全更新

微軟已於 2026 年 5 月 12 日針對 CVE-2026-41089 發布修補程式 。企業應立即為其 Windows Server 環境安裝相對應的更新。資安公司 Rapid7 的漏洞資料庫列出了各支援版本的 KB（知識庫文件）編號如下 ：

• Windows Server 2012：KB5087470
• Windows Server 2012 R2：KB5087471
• Windows Server 2016 (1607)：KB5087537
• Windows Server 2019 (1809)：KB5087538
• Windows Server 2022 (21H2/22H2)：KB5087545
• Windows Server 2022 (23H2)：KB5087541
• Windows Server 2025 (24H2)：KB5087539

在營運可行的前提下，應在一次壓縮的維護時段內，一口氣為所有的網域控制站執行修補。因為這是個無需驗證且已遭主動利用的漏洞，任何拖延都極度危險 。

0patch 提供舊版系統微修補程式

對於不再接收微軟官方安全更新的 Windows Server 安裝環境（如已終止延伸安全更新 ESU 的系統），Acros Security 已透過其 0patch 平台釋出免費的微修補程式 。這個微修補程式採取了極簡、精準的手術式修復：在相關處理流程中，將攻擊者可控的「使用者名稱」字串最大長度減半，從而有效化解堆疊溢位的風險，且不影響其他非相關的程式碼路徑 。

0patch 已確認其微修補程式適用於以下版本：

• Windows Server 2012（無 ESU）
• Windows Server 2012 R2（無 ESU）

該微修補程式係透過 0patch 代理程式部署，並直接在記憶體中生效，無需重新啟動系統。這對需要謹慎安排 DC 重啟時間的環境來說極具價值。0patch 長期以來為 Windows Server 2008 R2、2012 及 2012 R2 等終止支援的系統，針對重大漏洞提供延續性的微修補服務 。

緊急緩解措施與應變指引

修補可以消除脆弱的程式碼路徑，但無法偵測或清除那些可能在修補前就已利用 CVE-2026-41089 成功入侵的攻擊者。CCB 明確警告，修補只能防範未來的攻擊，並不能補救過去已發生的入侵事件 。

CCB 主要行動建議

1. 以最高優先權立即修補 — 對所有網域控制站套用微軟 2026 年 5 月的最新資訊安全更新。不要等待下一個維護窗口：這是一個已確認的「攻擊進行式」場景 。
2. 加強監控與偵測 — 提高對網域控制站可疑活動的監控強度，特別是異常的 Netlogon 流量、非典型的 RPC 和 LDAP 連線模式 。
3. 假設可能已遭先前入侵 — 任何在 5 月 12 日至實際完成修補期間，處於未修補且暴露於網路狀態的網域控制站，都應立即進行鑑識調查，以確認是否存在入侵跡象 。
4. 壓縮修補作業窗口 — 在盡可能少（最好是一次）的維護週期內，一口氣完成所有網域控制站的修補。一個只做半套修補的 Active Directory 樹系，本身就是一個可被攻擊的破口 。
5. 修補後重新驗證 — 修補完成後，務必重新執行修補驗證掃描與曝險評估，以確認已不存在任何可被存取的脆弱 DC 。

其他專家建議的防禦措施

• 隔離網域控制站 — 限制對網域控制站的網路存取，只允許明確授權的管理與基礎架構流量連線。在網路邊界與內部防火牆上，封鎖來自不可信任區段與外部網路的 Netlogon 相關連接埠（TCP 445、UDP 389）。
• 在網路層限制 Netlogon 流量 — 除了主機防火牆之外，強制執行網路層級的存取控制，限制哪些系統可以透過脆弱的通訊協定，與 DC 發起連線。
• 強化特權存取路徑 — 盤點並最小化對網域控制站擁有特權的帳號。一旦取得 DC 的 SYSTEM 權限，攻擊者的下一步通常就是竊取憑證並進行橫向移動 。
• 監控入侵後活動 — 留意異常的服務行為、非預期的 DC 重啟、LSASS 程序崩潰、新增管理員帳號，以及異常的 Kerberos 票證請求。這些都可能是漏洞利用或後續攻擊階段的徵兆 。
• 全面採取「假設已遭入侵」態度 — 在完成徹底的鑑識審查之前，應將所有先前未修補的網域控制站都視為可能已遭入侵。

重要提醒：EPSS 分數與實際感知落差

雖然此漏洞的 EPSS（漏洞利用預測評分系統）機率曾被通報為 0.09% ，但 EPSS 是個基於過去數據訓練出的機率模型，它無法反映已在現實世界中確認發生的「現在進行式」攻擊。當像 CCB 這樣的國家級網路安全機構發布主動攻擊警告時，企業的優先緩解順序必須以已確認的現實威脅情資為準，而非單純依賴統計預測。