Windows Kerberos hitelesítés megkerülése hálózati jogosultságszint-emelést tesz lehetővé (CVE-2026-85844)

Mi történt

A CVE-2026-85844 egy, a Windows Kerberos hitelesítését megkerülő hiba. A Microsoft úgy írja le a hibát, hogy az lehetővé teszi egy jogosulatlan támadó számára, hogy alternatív útvonal vagy csatorna használatával, a hálózaton keresztül jogosultságszint-emelést hajtson végre. A CVSS 3.1 vektor hálózati alapú, alacsony támadási komplexitású, nem igényel jogosultságot és felhasználói beavatkozást; a pontszám 9,8 (kritikus), a bizalmasságra, a sértetlenségre és a rendelkezésre állásra gyakorolt hatás magas. A Microsoft a közleményében Fontos besorolást adott a hibának.

A gyakorlatban annak a támadónak, aki eléri a Kerberost használó Windows-gazdagépet, nincs szüksége hitelesítő adatokra, és nem szükséges, hogy közben egy felhasználó bármilyen műveletet elvégezzen ahhoz, hogy magasabb jogosultságokat szerezzen. A CVE-bejegyzés nem számol be nyilvános közzétételről vagy aktív kihasználásról.

Kit érint

A Microsoft frissítési útmutatója kiterjed a Windows 10 1607, 1809, 21H2 és 22H2 verzióira, a Windows 11 23H2, 24H2, 25H2, 26H1 és 26H2 verzióira, valamint a Windows Server 2012, 2012 R2, 2016, 2019, 2022 és 2025 rendszerekre, beleértve a Server Core telepítéseket is, ahol azok szerepelnek. Minden esetben érintettek azok a rendszerek, amelyek a lenti javított verzióknál korábbi buildet futtatnak. Ezek általában tartományi hitelesítési és alkalmazáskiszolgálók, ezért a tartományvezérlők és a Kerberost használó egyéb gazdagépek jelentik a prioritást.

Mit kell most tenni

1. Telepítse a 2026. novemberi biztonsági frissítést. A javított buildek a következők:

• Windows 10 1607 verzió: 10.0.14393.9688; 1809 verzió: 10.0.17763.9487; 21H2 verzió: 10.0.19044.7846; 22H2 verzió: 10.0.19045.7846
• Windows 11 23H2 verzió: 10.0.22631.7711; 24H2 verzió: 10.0.26100.9974; 25H2 verzió: 10.0.26200.9974; 26H1 verzió: 10.0.28000.3501; 26H2 verzió: 10.0.26300.9974
• Windows Server 2012: 6.2.9200.26434; 2012 R2: 6.3.9600.23470; 2016: 10.0.14393.9688; 2019: 10.0.17763.9487; 2022: 10.0.20348.5870; 2025: 10.0.26100.33822

1. A Microsoft nem tett közzé kerülő megoldást; ha a javítás azonnali telepítése nem lehetséges, korlátozza a hálózati hozzáférést a Kerberos-hitelesítéshez és a tartományi szolgáltatásokhoz. A build–KB-leképezés teljes listájáért lásd a Microsoft biztonsági frissítési útmutatóját.

Hogyan észlelhető

A Microsoft nem tett közzé kompromittálódásra utaló jeleket ehhez a sérülékenységhez. Mivel a hiba a hálózaton keresztül, hitelesítő adatok nélkül kerüli meg a Kerberos-hitelesítést, a biztonsági csapatoknak át kell vizsgálniuk a tartományvezérlők hitelesítési naplóit, keresve a váratlan jogosultságváltozásokat vagy a nem megbízható forrásokból érkező jegykiadási tevékenységet.

A javításon túl

A javításon túl ez a hiba azt is próbára teszi, hogy a szervezet milyen gyorsan képes felmérni az összes Windows-buildet a környezetben, és milyen gyorsan telepít egy kritikus frissítést, mielőtt egy elérhető gazdagépet kihasználnak. Mivel a hiba hálózaton keresztül, hitelesítő adatok nélkül elérhető, a Virtuális CISO szolgáltatás (vCISO) segít láthatóvá tenni ezt a kitettséget, míg a Menedzselt kiberbiztonsági felügyelet (MDR) a hitelesítés megkerülését követő jogosultságszint-emelést és a hitelesítő adatokkal való visszaélést figyeli. Ha a javítási ciklus egy részét menedzselt szolgáltató vagy leányvállalat kezeli, az Ellátási lánc védelem és harmadik fél kockázata segít nyomon követni ezt a kitettségi időszakot.