Vai al contenuto principale
Immagine del blog CTI
Questione emergente

Vulnerabilità critica di tipo RCE (esecuzione di codice da parte dell’utente) in Netlogon sui controller di dominio (CVE-2026-41089)

Una vulnerabilità critica, che consente l'esecuzione di codice remoto senza autenticazione, presente in Netlogon ( Windows, CVE-2026-41089, CVSS 9,8) permette a un malintenzionato remoto di eseguire codice con privilegi SYSTEM su un controller di dominio. Patch tutti i controller di dominio nella stessa finestra di manutenzione con gli aggiornamenti di sicurezza maggio 2026 .

Il blog " 12 maggio 2026" di Microsoft, Patch martedì ha trattato una grave vulnerabilità relativa all’esecuzione di codice remoto in Windows Netlogon (CVE-2026-41089): un overflow del buffer basato sullo stack (CWE-121) con un punteggio CVSS pari a 9,8, individuata internamente dal team Windows Attack Research & Protection (WARP) di Microsoft. Microsoft ha valutato che, al momento del rilascio, fosse “poco probabile” che venisse sfruttata.

Il 29 maggio 2026, il Centro per la sicurezza informatica del Belgio (CCB) ha segnalato che alcuni malintenzionati stavano sfruttando la vulnerabilità CVE-2026-41089 in ambiente reale e ha esortato ad applicare immediatamente la patch. Microsoft afferma di non disporre di prove relative a casi di sfruttamento della vulnerabilità, ma raccomanda comunque di applicare l'aggiornamento; inoltre, diversi fornitori segnalano che sta circolando in rete del codice pubblico di “proof-of-concept”.

In cosa consiste la vulnerabilità

Netlogon è il servizio “ Windows ” responsabile dell’autenticazione all’interno di un dominio. Il vulnerabilità CVE-2026-41089 consiste in un overflow del buffer dello stack legato alla modalità con cui il servizio Netlogon gestisce una richiesta di rete appositamente manipolata: una richiesta CLDAP non valida inviata alla porta UDP 389 provoca l’overflow di un buffer dello stack di dimensione fissa mentre il servizio genera la propria risposta. Il codice interessato viene eseguito all’interno del processo LSASS sul controller di dominio; pertanto, un malintenzionato non autenticato in grado di accedere al servizio tramite la rete può corrompere la memoria e, in determinate condizioni, eseguire codice con i privilegi dell’account SYSTEM — assumendo di fatto l’identità completa del controller di dominio — fino a ottenere il controllo totale di Active Directory. I tentativi falliti causano solitamente il crash di LSASS e il riavvio del controller di dominio, creando una situazione di denial-of-service per il livello di directory. In base alla mappatura con il modello MITRE ATT&CK, le tecniche pertinenti sono la T1190, la T1210 e la T1068.

Aspetti fondamentali da tenere presenti

  • Pre-autenticazione e accessibilità tramite rete: non sono richieste credenziali, accesso locale né l’intervento dell’utente.
  • La superficie esposta è costituita d Windowsi controller di dominio Server raggiungibili in rete tramite il servizio Netlogon (CLDAP, UDP/389).
  • In caso di esito positivo, si verifica l’esecuzione di codice a livello di SISTEMA in LSASS; in caso di esito negativo, LSASS va comunemente in crash e il controller di dominio viene riavviato.
  • Sono interessate tutte le versioni supportate di Server Windows configurate come controller di dominio (dalla versione 2012 alla 2025). Microsoft'Gli aggiornamenti di sicurezza riguardano le versioni supportate (Server 2012 e successive); anche le versioni precedenti non più supportate, quali Server 2008 e R2 , sono vulnerabili, ma per la loro protezione si ricorre a micropatch di terze parti (ad esempio, 0patch/Acros) anziché agli aggiornamenti ufficiali di Microsoft .

In che modo “ Tanium ” può esservi d’aiuto

Tanium Comply : Comply esegue valutazioni delle vulnerabilità utilizzando la libreria delle vulnerabilità Tanium , associando i risultati rilevati ai codici CVE e ai punteggi CVSS. Esegua una valutazione e filtri i risultati per il CVE-2026-41089 per individuare quali sistemi necessitano ancora dell’aggiornamento “ maggio 2026 ”; dia la priorità innanzitutto ai controller di dominio, quindi al resto della flotta di server Windows . Si prega di verificare la copertura della libreria per questo CVE, poiché non tutti i CVE sono rilevabili tramite le valutazioni Comply .

Tanium Patch : Patch tutti i controller di dominio; l’applicazione parziale delle patch crea una situazione insostenibile in cui gli aggressori prendono di mira i controller di dominio che non sono stati ancora aggiornati. Creare un elenco di patch relativo agli aggiornamenti del programma “ maggio 2026 ” per le versioni del server Windows in uso, indirizzarlo al gruppo di computer dei controller di dominio e distribuirlo in un’unica finestra di manutenzione coordinata. Si prega di applicare l'aggiornamento cumulativo di sicurezza " maggio 2026 " per le versioni in uso di Server Windows ; per le attuali build di Server Windows e Windows 11 , tale aggiornamento è stato distribuito come KB5089549 (build del sistema operativo 26200,8457 e 26100,8457). Verifichi che per ciascuna versione del sistema operativo sia stato applicato il KB corretto, facendo riferimento alla Guida agli aggiornamenti di sicurezza per CVE-2026-41089 disponibile all'indirizzo Microsoft, quindi esegua nuovamente la valutazione Comply per verificare che il problema sia stato risolto.

Riferimenti