CVE-2026-72982 Netlogon: esecuzione di codice remoto, verificare la correzione

Sintesi

L’esecuzione di codice remoto Netlogon CVE-2026-72982 richiede una verifica urgente dello stato delle patch su ogni controller di dominio interessato. Il CVRF Microsoft di settembre 2026 descrive un overflow del buffer sullo stack raggiungibile dalla rete, che non richiede né autenticazione né interazione dell’utente. La priorità pratica è identificare l’esatto prodotto Windows di ogni server, confermare l’aggiornamento di sicurezza applicabile e verificare che la distribuzione e il riavvio richiesto siano stati completati.

Verificato il 3 ottobre 2026: Microsoft classifica la vulnerabilità come critica, con un punteggio base CVSS 3.1 di 9.8. La voce è stata pubblicata inizialmente l’8 settembre 2026: si tratta di una vulnerabilità di settembre esaminata in ottobre, non di una nuova divulgazione di ottobre. I fatti riportati di seguito provengono dal JSON CVRF MSRC di settembre 2026.

La CVE è assente da CISA KEV secondo la verifica del 3 ottobre 2026, nel catalogo KEV scaricato, versione 2026.10.02. Questa osservazione e la valutazione dello sfruttamento di Microsoft sono due istantanee separate. Nessuna dimostra che lo sfruttamento sia impossibile né giustifica il rinvio dell’aggiornamento.

CVE-2026-72982 Netlogon: esecuzione di codice remoto

Microsoft descrive un attaccante che invia un pacchetto di rete appositamente costruito a un servizio interessato e che potrebbe eseguire codice sul sistema di destinazione. La debolezza è un overflow del buffer sullo stack. Le FAQ pubblicate escludono esplicitamente due prerequisiti comuni: l’attaccante non ha bisogno di un account e l’utente non deve fare clic né approvare alcunché. Resta necessario l’accesso di rete al servizio interessato.

Per chi difende i sistemi, la domanda immediata è quindi quali sistemi interessati siano ancora raggiungibili e privi di patch. Il CVRF non fornisce una firma del pacchetto, un evento specifico di sfruttamento né prove di una campagna attiva. Non dedurre dal solo punteggio un payload specifico, una catena di processi, un livello di privilegi dopo lo sfruttamento o una capacità di propagazione automatica.

Questa vulnerabilità è distinta dall’applicazione delle protezioni Zerologon CVE-2020-1472. Quell’articolo tratta la precedente falla del canale sicuro Netlogon e la storia dell’applicazione delle relative protezioni. Queste impostazioni e le correzioni storiche non dimostrano se la correzione dell’overflow del buffer di settembre 2026 sia installata.

Verificare la correzione giusta per ogni controller di dominio

Inizia con un inventario completo dei DC, comprese le installazioni Server Core e i controller di dominio di sola lettura. Registra il prodotto del sistema operativo, la build installata, la KB applicabile, l’esito della distribuzione e il completamento del riavvio per ogni macchina. Evita di controllare un solo DC visibile e di estenderne il risultato all’intera foresta.

La seguente corrispondenza Windows Server deriva direttamente dall’unione delle Remediations di questa CVE con il ProductTree del CVRF. Copre i prodotti server elencati nel documento, che include anche prodotti client Windows. Usa il CVRF completo per la correzione dei client.

Tutte le correzioni tramite aggiornamento di sicurezza riportate sopra hanno RestartRequired impostato su Yes. Le voci 2012 e 2012 R2 sono voci Monthly Rollup; non generalizzare l’idoneità all’installazione da questa tabella. Verifica le condizioni di manutenzione applicabili. Un numero di versione corrispondente di un prodotto Windows diverso non costituisce una prova di copertura.

Per un DC Windows Server 2025, la documentazione Microsoft di Get-HotFix descrive il filtro tramite -Id e l’interrogazione di un computer remoto con -ComputerName. Adatta il modello documentato alla KB applicabile:

Get-HotFix -Id KB5122871

Per un DC Server 2025 remoto, sostituisci il nome di esempio con quello del tuo host reale:

Get-HotFix -Id KB5122871 -ComputerName DC01

Questi comandi sono stati verificati nella documentazione, non eseguiti su un DC di produzione. Per un’altra versione del server, sostituisci la KB con quella della tabella. Un record restituito avvalora l’installazione dell’aggiornamento indicato; non dimostra che il riavvio richiesto sia stato completato. Un errore di accesso o connettività è un risultato sconosciuto, non un riscontro di patch mancante.

Get-HotFix usa Win32_QuickFixEngineering e presenta limiti di inventario documentati. L’assenza di una KB storica, da sola, non è un verdetto conclusivo di vulnerabilità: riconcilia la build installata e lo storico della manutenzione, compresi eventuali aggiornamenti cumulativi sostitutivi, nei tuoi registri di gestione delle patch. Non usare soltanto la data di installazione dell’aggiornamento più recente come prova della copertura di questa CVE.

Per Server 2025, la pagina Microsoft di KB5122871 conferma in modo indipendente la build del sistema operativo 26100.33438. La stessa pagina afferma che il problema RDS introdotto dall’aggiornamento di settembre è stato risolto negli aggiornamenti rilasciati dal 14 settembre 2026 in poi, incluso KB5129235, e raccomanda l’ultimo aggiornamento applicabile. Considera la tabella come la corrispondenza della correzione originale, quindi valuta l’aggiornamento cumulativo attualmente applicabile e i problemi noti prima della distribuzione.

Rilevamento: segnali utili e relativi limiti

La verifica dell’esposizione più affidabile in questo caso è la conformità delle patch per l’esatto prodotto del sistema operativo. Genera un avviso per un DC interessato a cui manca la correzione applicabile o un aggiornamento sostitutivo verificato, la cui distribuzione è fallita o il cui riavvio è ancora in sospeso. Mantieni i record di inventario inaccessibili e obsoleti in una coda esplicita di risultati sconosciuti finché qualcuno non li verifica.

L’Appendice L di Microsoft Learn: eventi da monitorare documenta due eventi Netlogon:

Sono segnali della postura dei canali sicuri, non indicatori documentati di sfruttamento di CVE-2026-72982. La loro presenza non dimostra una RCE riuscita; la loro assenza non dimostra che un DC sia aggiornato. Esaminali insieme allo stato delle patch e alla telemetria esistente degli endpoint e della rete, anziché creare un avviso che attribuisca ogni occorrenza a questa CVE.

Microsoft raccomanda di testare le raccomandazioni sul monitoraggio degli eventi nell’ambiente locale e di rivedere la configurazione di registrazione. Conferma che la raccolta funzioni su ogni DC prima di interpretare una dashboard priva di attività. L’avviso primario usato qui non fornisce un rilevamento KQL specifico per la CVE; non esiste una firma di sfruttamento verificata da riprodurre.

Correzione: applicare le patch, riavviare e risolvere i risultati sconosciuti

1. Identifica il prodotto prima di selezionare l’aggiornamento. Usa il ProductID e la correzione del CVRF per quella versione del server, quindi esamina l’aggiornamento cumulativo attualmente applicabile e i relativi prerequisiti.
2. Distribuisci tramite il tuo canale di aggiornamento abituale. Dai priorità ai DC raggiungibili e privi di patch e pianifica il lavoro considerando la disponibilità dell’autenticazione. Conserva l’esito dell’aggiornamento per ogni host.
3. Completa il riavvio richiesto. Un pacchetto scaricato, una distribuzione approvata o una riga di hotfix installato non equivalgono a un’operazione di manutenzione completata.
4. Ricontrolla la build in esecuzione e le prove dell’aggiornamento. Riconcilia la corrispondenza KB/build, eventuali sostituzioni e i record di distribuzione. Convalida l’autenticazione e la replica prima di chiudere la modifica.
5. Se l’applicazione immediata della patch è bloccata, riduci la raggiungibilità di rete non necessaria. Limita l’accesso dai segmenti non attendibili preservando il traffico di dominio richiesto, registra l’ambito del controllo temporaneo e fissa una scadenza per la patch. Questa è una raccomandazione per ridurre l’esposizione, non una soluzione alternativa al bug documentata da Microsoft.
6. Inoltra le attività sospette alla risposta agli incidenti. Conserva la telemetria pertinente e indaga indipendentemente dalla distribuzione delle patch. Installare l’aggiornamento non stabilisce se le precedenti attività sospette abbiano comportato una compromissione.

La nostra analisi delle RCE sui controller di dominio di agosto 2026 spiega perché un inventario che tenga conto dei ruoli è importante per DNS, AD CS e AD DS. Applica qui quella lezione operativa, mantenendo distinta la CVE Netlogon di settembre e la sua correzione specifica per prodotto.

Come EtcSec rileva questo problema

Per questa CVE, la verifica dell’esposizione deve confrontare il livello effettivo delle patch con la corrispondenza dei prodotti e delle correzioni Microsoft riportata sopra. La sola postura della configurazione non può rispondere a questa domanda. Questo articolo non associa un tag di vulnerabilità del collector a CVE-2026-72982 perché non è stata verificata alcuna implementazione di un rilevatore dedicato per questo flusso di lavoro.

Mantieni i riscontri di postura di EtcSec accanto alle prove di conformità delle patch, dichiarandone separatamente la copertura. Un vecchio riscontro sull’applicazione delle protezioni Zerologon, un audit di configurazione senza anomalie o un riscontro generico sul sistema operativo non devono essere presentati come prova che questa RCE Netlogon sia rilevata o corretta. Chiudi questa CVE soltanto con le prove dell’aggiornamento applicabile, della build in esecuzione e del riavvio per ogni server interessato.