CVE-2026-69676 Kerberos: execução remota de código e correção

O que é CVE-2026-69676 Kerberos: execução remota de código?

CVE-2026-69676 Kerberos: execução remota de código afeta o Windows Kerberos e exige uma verificação rápida da instalação das correções. A Microsoft classifica a vulnerabilidade como crítica: um atacante autenticado com acesso de baixo privilégio a um servidor afetado pode enviar uma solicitação especialmente preparada que executa código nesse servidor, sem interação do usuário. O comunicado não indica acesso administrativo como pré-requisito.

O CVRF do MSRC de setembro de 2026, consultado em JSON em 3 de outubro de 2026, registra estes valores exatos para esta CVE:

A revisão do comunicado individual é 1.0, datada de 8 de setembro de 2026. Trata-se de uma atualização de segurança de setembro que está sendo analisada em outubro. A CVE estava ausente do catálogo de vulnerabilidades conhecidas exploradas da CISA em 3 de outubro de 2026, na versão 2026.10.02 do catálogo obtido. Essa observação e a avaliação de exploração da Microsoft são evidências distintas; nenhuma delas estabelece que não possa ter ocorrido exploração em outros ambientes.

Como funciona: captura e repetição com baixos privilégios

A Microsoft identifica uma evasão de autenticação envolvendo captura e repetição. Sua descrição situa a execução de código resultante na rede, enquanto a FAQ especifica um atacante autenticado com acesso de baixo privilégio ao servidor afetado. A implicação operacional é que a aplicação da correção não pode ser adiada apenas porque contas comuns não têm direitos administrativos.

O CVRF público não explica qual mensagem é capturada, como ela é repetida nem o caminho exato de processamento vulnerável. Também não especifica a identidade sob a qual o código resultante é executado. Uma sequência detalhada de pacotes, um comando de exploração ou uma alegação de comprometimento automático do domínio ultrapassaria essas evidências.

A cadeia de ataque confirmada pelo comunicado

1. O atacante tem acesso autenticado de baixo privilégio a um servidor afetado.
2. O atacante envia uma solicitação especialmente preparada pela rede.
3. O código é executado nesse servidor sem que um usuário precise interagir.

Esses são os limites documentados do cenário, não uma prova de conceito. O requisito de baixo privilégio torna identidades comuns comprometidas relevantes para a priorização, mas o comunicado não afirma que toda conta de domínio pode explorar qualquer servidor.

Detecção: coletar o contexto Kerberos e depois investigar

A documentação de eventos da Microsoft fornece visibilidade útil sobre Kerberos nos controladores de domínio. Esses eventos podem apoiar uma investigação, mas nenhum é documentado aqui como uma assinatura confiável de exploração de CVE-2026-69676.

Habilite e colete centralmente as subcategorias de auditoria Kerberos Authentication Service e Kerberos Service Ticket Operations. Valide a cobertura de sucesso e falha quando aplicável. O guia de monitoramento do Active Directory publicado explica por que política de auditoria, encaminhamento, preservação dos campos e linhas de base precisam funcionar em conjunto antes que uma consulta SIEM ofereça cobertura útil.

Ponto de partida KQL para triagem

Esta consulta elaborada por um analista usa a tabela SecurityEvent documentada e suas colunas tipadas. Nessa tabela, EventData é uma string, portanto a consulta não o acessa como um objeto dinâmico. Ela agrupa atividades para revisão; a janela retrospectiva de 24 horas e os intervalos de 15 minutos são escolhas de investigação, não limiares de exploração.

SecurityEvent
| where TimeGenerated > ago(24h)
| where Channel == "Security"
| where EventSourceName == "Microsoft-Windows-Security-Auditing"
| where EventID in (4768, 4769, 4771)
| extend Account = TargetUserName,
         ClientIP = IpAddress,
         Service = ServiceName
| summarize Events = count(), Services = make_set(Service, 20)
    by bin(TimeGenerated, 15m), Computer, EventID, Account, ClientIP, Status
| order by Events desc

Confirme que seu conector coleta esses IDs de evento em SecurityEvent e preenche TargetUserName, IpAddress, ServiceName e Status para cada tipo de evento. Compare linhas de amostra com o XML original do evento; campos ausentes exigem uma revisão do parser antes que os resultados agrupados sejam úteis. Não interprete valores ausentes ou um resultado vazio como evidência de que não houve exploração. Esta consulta não foi executada com telemetria de clientes.

Compare combinações desconhecidas de conta, cliente e serviço e picos de atividade com a atividade normal, as janelas de mudança e as evidências do endpoint no servidor afetado. Eventos de tíquetes do controlador de domínio não são um registro completo do que é executado em um servidor membro. Preserve a telemetria do host quando uma atividade suspeita coincidir com um ativo sem correção.

O guia de fallback Kerberos RC4 separado explica como distinguir evidências de criptografia de tíquetes da configuração das contas e corrigir dependências de AES com segurança. A atividade RC4 é uma evidência contextual; a mudança para AES não está estabelecida como uma correção para esta CVE.

Correção: verificar a atualização adequada para cada produto

1. Associar cada ativo ao seu produto no CVRF

Leia as entradas de produtos afetados e de correção para a versão do Windows e o tipo de instalação do ativo. A entrada inclui clientes Windows e produtos de servidor, portanto uma revisão de AD não deve presumir que apenas os controladores de domínio importam.

Para Windows Server 2025, o CVRF associa ProductID 12436 e Server Core ProductID 12437 a KB5122871, com FixedBuild 10.0.26100.33438 e RestartRequired Yes. A página de atualização do Microsoft Support confirma o lançamento em 8 de setembro e a compilação do sistema operacional 26100.33438. Use isso como um exemplo específico de versão, não como uma KB a ser aplicada a todas as versões do Windows. A mesma página do Support documenta uma regressão nos Serviços de Área de Trabalho Remota após a atualização de setembro e informa que ela foi resolvida nas atualizações lançadas a partir de 14 de setembro de 2026. Revise os problemas conhecidos atuais e as atualizações substitutas aplicáveis antes da implantação.

2. Reunir evidências de instalação

Em um ativo Windows Server 2025, adapte a consulta por ID documentada em Get-HotFix à KB confirmada acima:

Get-HotFix -Id KB5122871

Para obter evidências adicionais de versão, este comando é reproduzido diretamente da documentação de Get-ComputerInfo:

Get-ComputerInfo -Property "*version"

Esses comandos são exemplos baseados na documentação, não medições dos seus servidores. Get-HotFix consulta Win32_QuickFixEngineering; retenha também os registros de manutenção e as evidências completas da compilação do sistema operacional. Se a KB original estiver ausente, verifique se uma atualização cumulativa instalada a substitui e inclui a correção. Não declare um ativo vulnerável ou corrigido apenas porque a consulta de uma KB não a encontrou.

3. Instalar, reiniciar e verificar novamente

Implante a atualização de segurança aplicável, ou uma atualização substituta verificada, pelo seu processo de manutenção suportado. Conclua a reinicialização necessária, registre a compilação em execução e valide as aplicações dependentes de Kerberos. Acompanhe exceções com um responsável e uma data de correção. Enquanto uma exceção persistir, restrinja o acesso desnecessário ao servidor afetado e monitore atividades suspeitas; essas medidas não substituem a correção.

Como o EtcSec detecta isso

Nenhuma verificação direta do EtcSec para CVE-2026-69676 foi validada para este artigo. Não use um resultado de postura do etc-collector, por si só, como prova do estado das correções ou de exploração.

Use as evidências de correção e o fluxo de investigação Kerberos acima para avaliar este problema. Mantenha separados os resultados de postura, as evidências de atualizações instaladas e as observações de incidentes ao registrar o resultado. Uma auditoria de configuração sem problemas, por si só, não pode estabelecer que esse defeito no código do Windows foi corrigido.