Microsoft ir publicējis labojumus kritiskai Windows Kerberos ievainojamībai CVE-2026-85844, kuras CVSS vērtējums sasniedz 9,8. Kļūda ļauj attālinātam, neautorizētam uzbrucējam apiet autentifikāciju un paaugstināt privilēģijas tīklā. Veiksmīga izmantošana var novest līdz SYSTEM līmeņa tiesībām, tostarp uz domēna kontroliera, tādēļ šis atjauninājums ir īpaši steidzams organizācijās ar Active Directory vidi.
Kerberos ir viens no centrālajiem Windows domēna autentifikācijas mehānismiem, un tā kompromitēšana var ietekmēt ne tikai vienu darbstaciju. Domēna kontrolieri apstrādā lietotāju un pakalpojumu autentifikāciju visā organizācijā, tāpēc paaugstinātas privilēģijas uz šādas sistēmas var dot uzbrucējam plašas iespējas piekļūt resursiem, mainīt konfigurāciju un turpināt kustību tīklā. Oficiālajā CVE ierakstā problēma raksturota kā autentifikācijas apiešana, izmantojot alternatīvu ceļu vai kanālu.
Ievainojamība skar plašu atbalstīto Windows klientu un serveru klāstu: Windows 10 versijas 1607, 1809, 21H2 un 22H2, Windows 11 versijas no 23H2 līdz jaunākajiem 26H1 un 26H2 laidieniem, kā arī Windows Server 2012, 2012 R2, 2016, 2019, 2022 un 2025. Skarti ir arī Server Core instalāciju varianti. Drošību nosaka konkrētais operētājsistēmas būvējuma numurs, tāpēc ar produkta nosaukuma vai funkciju versijas pārbaudi vien nepietiek.
Administratoriem vispirms jāatjaunina domēna kontrolieri un citi kritiskie serveri, pēc tam jāpārliecinās par labojuma izvietošanu visās darbstacijās. Piemēram, Windows 11 24H2 jābūt vismaz būvējumam 10.0.26100.9974, Windows Server 2022 — 10.0.20348.5870, bet Windows Server 2025 — 10.0.26100.33822. Vecākām serveru līnijām jāizmanto Microsoft attiecīgajam laidienam norādītais novembra drošības būvējums vai jaunāks.
Pirms masveida izvietošanas labojumu var pārbaudīt reprezentatīvā testa grupā, taču kritisko sistēmu aizsardzību nevajadzētu nepamatoti atlikt. Pēc instalēšanas jāpārstartē sistēmas, ja to pieprasa atjauninājums, un centralizēti jāpārbauda sasniegtais būvējuma numurs. Vienlaikus jāuzrauga neparasti autentifikācijas notikumi, privilēģiju piešķiršana un aizdomīga darbība domēna kontrolieros; jebkura novirze jāizmeklē kā iespējams drošības incidents.
Organizācijām jāņem vērā arī sistēmas, kuras atrodas ārpus biroja tīkla, rezerves domēna kontrolieri un reti izmantoti serveri. Atjauninājumu pārvaldības pārskatā jābūt redzamam katras iekārtas stāvoklim, bet ievainojamas sistēmas līdz labošanai jāizolē vai tām būtiski jāierobežo tīkla piekļuve. Pabeigta ieviešana nozīmē ne tikai atjauninājuma nosūtīšanu, bet arī apstiprinājumu, ka tas sekmīgi instalēts.
CVE papildinformācija
CVE-2026-85844. Windows Kerberos autentifikācijas apiešanas kļūda ļauj neautorizētam uzbrucējam tīklā paaugstināt privilēģijas. Skartas vairākas Windows 10, Windows 11 un Windows Server versijas, tostarp Server Core instalācijas. CVE ieraksts.
Avots: cert.lv raksts · X ieraksts
