メインコンテンツへスキップ
CTIブログの画像
新たな課題

ドメインコントローラーにおけるNetlogonの重大なRCE（CVE-2026-41089）

Windows Netlogon に存在する、認証不要の重大なリモートコード実行の脆弱性（CVE-2026-41089、CVSS 9.8）により、リモートの攻撃者がドメインコントローラー上で SYSTEM 権限でコードを実行できてしまいます。 同じメンテナンスウィンドウ内で、すべてのドメインコントローラーに「 2026年5月 」のセキュリティ更新プログラムを適用してください。

マイクロソフトの「 2026年5月12日」（ ）の「Patch Tuesday」（ ）では、Windows Netlogon（CVE-2026-41089）に存在する重大なリモートコード実行の脆弱性に対処しました。これは、マイクロソフトのWindows Attack Research & Protection（WARP）チームによって社内で発見された、スタックベースのバッファオーバーフロー（CWE-121）であり、CVSSスコアは 9.8です。 マイクロソフトは、この脆弱性がリリース時点で悪用される可能性について「低い」と評価しました。

2026年5月29日において、ベルギーサイバーセキュリティセンター（CCB） は、 に対し、攻撃者が「CVE-2026-41089 」の脆弱性を実際に悪用していることを警告し、直ちにパッチを適用するよう強く促しました。 マイクロソフトは、この脆弱性が悪用されたという証拠はないと述べていますが、それでも更新プログラムの適用を推奨しており、複数のベンダーからは、公開された概念実証コードが流通しているとの報告が寄せられています。

この脆弱性とは何か

Netlogon は、ドメイン内での認証を担当する Windows サービスです。 CVE-2026-41089 は、Netlogon サービスが細工されたネットワークリクエストを処理する方法に起因するスタックベースのバッファオーバーフローです。具体的には、UDP ポート 389 宛てに送信された不正な形式の CLDAP リクエストに対し、サービスが応答を生成する際に、固定サイズのスタックバッファがオーバーフローしてしまいます。 この脆弱性に関連するコードは、ドメインコントローラー上のLSASSプロセス内で実行されるため、ネットワーク経由でこのサービスにアクセスできる認証されていない攻撃者は、メモリを改ざんし、特定の条件下ではSYSTEMアカウントとしてコードを実行することが可能です。これにより、事実上ドメインコントローラーの完全な権限を継承し、最終的にはActive Directoryの完全な乗っ取りに至る可能性があります。 こうした試みが失敗すると、通常、LSASS がクラッシュし、ドメイン コントローラーが再起動するため、ディレクトリ層でサービス拒否状態が発生します。 MITRE ATT&CK に照らし合わせると、関連する手法は T1190、 T1210、および T1068 です。

覚えておくべき重要なポイント

  • 事前認証済みで、ネットワーク経由でアクセス可能：認証情報、ローカルアクセス、またはユーザーの操作は一切必要ありません。
  • 公開されているのは、Netlogon サービス（CLDAP、UDP/389）を介してネットワーク経由でアクセス可能な Windows Server ドメイン コントローラーです。
  • 成功すると、LSASS内でシステムレベルのコードが実行されます。失敗した場合は、通常、LSASSがクラッシュし、ドメインコントローラーが再起動します。
  • ドメイン コントローラーとして構成されている、サポート対象のすべての Windows Server バージョンが影響を受けます（Server 2012 から 2025 まで）。 マイクロソフトのセキュリティ更新プログラムは、サポート対象のバージョン（Server 2012 以降）を対象としています。Server 2008 やR2 などのサポート終了済みの旧バージョンも脆弱性がありますが、これらはマイクロソフトの公式更新プログラムではなく、サードパーティ製のマイクロパッチ（例：0patch/Acros）に依存しています。

Taniumがどのように役立つか

Tanium Comply： Comply は、Tanium 脆弱性ライブラリを使用して脆弱性評価を実行し、検出結果を CVE および CVSS スコアに紐付けます。 アセスメントを実行し、結果を「 CVE-2026-41089 」でフィルタリングして、2026年5月 の更新プログラムがまだ必要なシステムを確認してください。ドメインコントローラーを最優先とし、その後、残りのWindows Server環境を順次対応させてください。 このCVEについて、ライブラリの対応範囲をご確認ください。Complyの評価では、すべてのCVEを検出できるわけではないためです。

Tanium Patch: すべてのドメインコントローラーに一括してパッチを適用してください。部分的なパッチ適用では、適用対象外となったドメインコントローラーが攻撃者の標的となり、防御不能な状態が生じます。 お使いの Windows Server バージョン向けの「 2026年5月 」の更新プログラムに限定したパッチリストを作成し、ドメイン コントローラーのコンピュータ グループを対象として、1 つの調整済みのメンテナンス ウィンドウ内で展開してください。 お使いの Windows Server バージョンに対応する「 2026年5月 」累積セキュリティ更新プログラムを適用してください。現在の Windows Server および Windows 11 ビルドについては、これは「 KB5089549 」（OS ビルド 26200.8457 および 26100.8457）として提供されています。 の「Microsoft セキュリティ更新プログラムガイド（ CVE-2026-41089）」を参照し、各 OS ビルドに対応する正しい KB を確認した上で、コンプライアンス評価を再実行し、検出結果が解消されたことを確認してください。

参考文献