CVE-2026-69524 CVE-2026-69546 AD-RCE: atualizações

Resumo: CVE-2026-69524 CVE-2026-69546 AD-RCE: atualizações

CVE-2026-69524 e CVE-2026-69546 são vulnerabilidades distintas de execução remota de código no Active Directory Domain Services (AD DS), publicadas em 8 de setembro de 2026. Ambas têm uma pontuação base CVSS 3.1 de 8.1, não exigem privilégios nem interação do utilizador nos respetivos vetores CVSS e envolvem uma falha de uso após libertação de memória. A Microsoft afirma que a exploração bem-sucedida depende de vencer uma condição de corrida. Essa dificuldade adicional deve orientar o planeamento das atualizações, sem retirar nenhuma das vulnerabilidades da fila de correção dos controladores de domínio. São atualizações de setembro analisadas em outubro, não falhas de outubro recém-anunciadas. O CVRF de setembro da Microsoft é a fonte dos factos sobre as CVEs apresentados abaixo.

Para os defensores, as prioridades imediatas são associar cada controlador de domínio à atualização aplicável, verificar a instalação e a conclusão do reinício e preservar telemetria útil. O CVRF público não fornece uma assinatura de evento específica destas CVEs nem um indicador de comprometimento. Os alertas genéricos de alterações no diretório ou do estado dos serviços devem apoiar a investigação sem serem apresentados como prova de exploração de qualquer uma das falhas.

CVE-2026-69524 e CVE-2026-69546 lado a lado

Os valores seguintes provêm do CVRF de setembro, obtido em 3 de outubro de 2026. A Microsoft classifica ambas as vulnerabilidades como Important. As cadeias de texto relativas à exploração são reproduzidas exatamente; as suas diferentes avaliações de probabilidade devem permanecer distintas.

Nenhuma das CVEs constava do catálogo JSON de vulnerabilidades exploradas conhecidas da CISA consultado em 3 de outubro de 2026; a versão obtida do catálogo era 2026.10.02. A ausência nessa data e os campos Exploited:No da Microsoft são observações distintas. Nenhuma garante que a exploração não possa ocorrer ou que toda a atividade tenha sido observada.

Como funciona: uso após libertação e condição de corrida

O uso após libertação ocorre quando o software acede à memória depois de esta ter sido libertada. As consequências dependem da implementação; falhas de funcionamento e execução não autorizada estão entre as possibilidades descritas na definição de CWE-416 da MITRE. Isto explica a classe da falha, sem estabelecer a função vulnerável ou o formato exato dos pacotes de qualquer uma das CVEs.

As perguntas frequentes da Microsoft sobre CVE-2026-69524 descrevem um atacante não autenticado a enviar um pacote especialmente preparado para um serviço de rede afetado. As perguntas frequentes sobre CVE-2026-69546 descrevem um atacante dentro da rede a invocar endpoints arbitrários. Ambas afirmam que a exploração exige vencer uma condição de corrida. O CVRF não identifica os endpoints afetados, uma sequência de exploração fiável nem um defeito de código subjacente comum. O agrupamento destas vulnerabilidades reflete o componente, a classe de falha e a correspondência de atualizações que partilham.

Porque AC:H continua a exigir ação

AC:H identifica um obstáculo adicional à exploração. Não transforma PR:N num requisito de autenticação nem UI:N numa exigência de alguém clicar numa ligação. A nossa recomendação operacional é dar prioridade aos controladores de domínio afetados, porque servem a infraestrutura de identidade, mantendo as avaliações reais de probabilidade da Microsoft. Evite inventar uma taxa de sucesso, descrever estas falhas como capazes de propagação por worm ou assumir que acesso à rede significa exposição pública à Internet.

A análise de agosto sobre RCE em controladores de domínio explica porque as equipas inventariam funções relacionadas com DCs e verificam a conformidade das atualizações em todas elas. Abrange uma versão diferente e outras CVEs; as suas descrições de ataques não devem ser transferidas para este par.

Verificar a atualização correta em cada controlador de domínio

O CVRF de setembro associa ambas as CVEs às seguintes correções do Windows Server, incluindo os produtos Server Core correspondentes. Esta tabela regista a correspondência original das atualizações, não uma instrução para instalar um pacote mais antigo sobre uma atualização cumulativa mais recente e aplicável.

Confirme o produto e a variante de instalação antes de escolher uma atualização. A inclusão nesta tabela CVRF não constitui uma declaração sobre o direito a suporte de um servidor. Para Server 2025, o artigo de suporte de KB5122871 confirma de forma independente a compilação do sistema operativo 26100.33438 e descreve os canais de instalação suportados. Consulte a documentação da versão aplicável para conhecer pré-requisitos, problemas conhecidos e atualizações posteriores.

A documentação de Get-HotFix da Microsoft apresenta este comando exato de inventário local:

Get-HotFix

Os parâmetros documentados -Id e -ComputerName podem ser aplicados à correspondência de Server 2025 da seguinte forma. DC01 é um nome de exemplo; utilize o nome real do controlador. Estes comandos são exemplos baseados na documentação, não resultados obtidos num ambiente de cliente.

Get-HotFix -Id KB5122871 -ComputerName DC01

Guarde as evidências de instalação devolvidas juntamente com a versão exata do sistema operativo, a compilação em execução e o estado do reinício obtidos nas suas ferramentas de gestão. Get-HotFix utiliza a classe Win32_QuickFixEngineering, cuja cobertura de atualizações é limitada. Uma entrada ausente exige investigação; não estabelece por si só a vulnerabilidade, sobretudo quando uma atualização posterior substitui o KB original. Confirme a aplicabilidade e a substituição antes de encerrar o registo.

Deteção: recolher contexto e depois investigar

Separe a exposição por falta de atualizações de uma suspeita de comprometimento. A primeira exige um inventário de atualizações fiável. A segunda exige atividade correlacionada e investigação. Nenhum dos IDs de evento abaixo identifica de forma exclusiva a exploração de CVE-2026-69524 ou CVE-2026-69546.

A Microsoft documenta o registo de diagnóstico de AD DS, incluindo a recolha predefinida de eventos críticos e de erro. Aumente o detalhe do diagnóstico apenas para uma investigação delimitada e reponha depois a configuração normal; o detalhe adicional pode afetar o desempenho. Encaminhe centralmente os registos Security e Directory Service e verifique o funcionamento da ingestão antes de confiar na ausência de eventos.

As referências primárias dos eventos são 5136: objeto de diretório modificado e 1102: registo de auditoria limpo. Para 5136, preserve SubjectUserName, ObjectDN, AttributeLDAPDisplayName, AttributeValue, OperationType e OpCorrelationID. Uma alteração produz normalmente eventos separados de eliminação e adição de valores; correlacione-os através de OpCorrelationID e do contexto do objeto e do atributo para comparar valores antigos e novos. O guia de monitorização de AD explica porque a política de auditoria, a recolha, o mapeamento de campos e a correlação devem funcionar em conjunto antes de as deteções baseadas em eventos proporcionarem cobertura útil.

Para triagem local, este exemplo adapta a sintaxe de Get-WinEvent e filtragem por hashtable da Microsoft. Execute-o no controlador com os direitos adequados de leitura dos registos:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5136,1102} -MaxEvents 100
Get-WinEvent -LogName 'Directory Service' -MaxEvents 100

O limite restringe os registos apresentados; não é um limiar de alerta nem uma cronologia completa do incidente. Analise o intervalo relevante no seu SIEM, correlacione alterações inesperadas com telemetria do host e da rede e exclua manutenção documentada. Uma consulta sem ocorrências não certifica que um DC esteja atualizado ou livre de comprometimento.

Correção: atualizar, reiniciar e preservar evidências

1. Crie um registo de atualização para cada controlador. Inclua o produto exato Windows Server, a variante de instalação, o KB aplicável ou a atualização que o substitui, o responsável e as evidências de conclusão. Resolva explicitamente os casos de sistemas inacessíveis ou sem informação.
2. Implemente a atualização aplicável e suportada. Ambas as CVEs exigem ação do cliente. Utilize o canal de atualização aprovado e as orientações da versão sobre pré-requisitos e problemas conhecidos. Para Server 2025, o artigo de suporte recomenda a atualização Windows aplicável mais recente e regista a resolução posterior de um problema de RDS que afetava a versão de setembro.
3. Conclua o reinício necessário e valide o estado dos serviços. Ambas as entradas CVRF indicam que as atualizações de servidor listadas exigem reinício. Confirme a autenticação e a replicação através das verificações operacionais habituais e compare novos erros do serviço de diretório com a referência anterior à manutenção.
4. Volte a verificar as evidências de instalação. Utilize o comando de inventário documentado e os registos de gestão, confirme a compilação em execução e a substituição e guarde o resultado para cada controlador. Um pacote implementado com reinício pendente não constitui um registo de alteração concluído.
5. Investigue separadamente indícios credíveis de comprometimento. Preserve os registos recolhidos centralmente e as evidências dos hosts, coordene a contenção com a equipa de resposta a incidentes de identidade e avalie alterações não autorizadas no diretório. A instalação da correção, por si só, não reverte alterações que um atacante possa já ter efetuado.

Como a EtcSec deteta este problema

Utilize as conclusões das auditorias de configuração da EtcSec juntamente com registos independentes de conformidade das atualizações e investigação no SIEM. Esta análise não valida uma verificação da EtcSec para qualquer uma das CVEs, para a atualização instalada ou para a sua exploração. Uma conclusão de configuração isolada não permite estabelecer se um controlador recebeu a atualização AD DS aplicável de setembro.