系统管理员们，放下手中的咖啡，立刻检查你的补丁状态。
微软在 5 月 12 日发布的补丁中，修复了一个评分高达 9.8 的致命漏洞：CVE-2026-41089。
不幸的是，正如安全圈最害怕听到的那样：它已经在野外被利用了。
漏洞有多严重？
简单来说，这是一个**远程代码执行（RCE）**漏洞，影响范围涵盖从 Windows Server 2012 到最新版本的所有域控制器。
- 无需认证：攻击者不需要任何账号密码。
- 同一网络即可：只要攻击者在同一局域网内（或通过 VPN 接入），就能发起攻击。
- 一个数据包足矣：只需发送一个精心构造的、包含 oversized 字段的 UDP 数据包 到 Netlogon 服务。
- 后果灾难性：
- 获取 System 权限：攻击者可直接获得域控制器的最高控制权。
- 全域沦陷：一旦掌控域控，攻击者可创建任意账户、窃取 Kerberos 票据（Golden Ticket），从而访问整个域内的所有数据和服务。
- 拒绝服务（DoS）：即使不利用 RCE，简单的畸形包也能导致 LSASS 服务崩溃，强制域控重启，造成业务中断。
为什么这么容易？
技术细节简单得令人发指：这是一个经典的缓冲区溢出。
Netlogon 服务在处理数据序列化时，将攻击者提供的数据与服务器主机名拼接。由于缺乏严格的长度检查，过大的字段溢出了缓冲区，覆盖了内存中的关键指令，从而让攻击者得以执行任意代码。
没有缓解措施，只有补丁
微软明确表示：目前没有有效的临时缓解措施。
你不能通过防火墙规则轻松阻挡（因为 Netlogon 需要正常通信），也不能通过配置禁用该功能。唯一的解决方案就是：安装 2026 年 5 月 12 日及之后的安全更新。
行动指南
- 立即补丁：检查所有域控制器，确保已安装最新累积更新。
- 优先处理旧版本：Windows Server 2012/2012 R2 等老旧系统往往被忽视，但它们同样脆弱，且可能不再接收自动推送，需手动干预。
- 监控异常：留意 Netlogon 服务的异常崩溃或重启，以及未知的特权账户创建行为。
- 隔离测试：如果无法立即重启生产环境，至少在隔离环境中验证补丁兼容性。
背景：Chaotic Eclipse 的阴影
这次漏洞的曝光，也再次将微软推向了风口浪尖。近期，微软与安全研究员 Chaotic Eclipse 的关系急剧恶化。在谈判破裂后，该研究员发布了一系列零日漏洞利用，而微软则威胁采取法律行动。
虽然 CVE-2026-41089 并非由 Eclipse 直接公开为零日，但在这种紧张氛围下，漏洞从发现到被武器化的速度似乎正在加快。
