CVE-2026-72982 Netlogon execução remota de código: Verificar

Resumo executivo

A CVE-2026-72982 Netlogon execução remota de código exige uma verificação urgente do estado das atualizações em cada controlador de domínio afetado. O CVRF de setembro de 2026 da Microsoft descreve um estouro de buffer na pilha acessível pela rede que não requer autenticação nem interação do utilizador. A prioridade prática é identificar o produto Windows exato de cada servidor, confirmar a atualização de segurança aplicável e verificar se a implementação e o reinício obrigatório foram concluídos.

Verificado em 3 de outubro de 2026: A Microsoft classifica a vulnerabilidade como crítica, com uma pontuação base CVSS 3.1 de 9.8. A entrada foi publicada inicialmente em 8 de setembro de 2026; trata-se de uma vulnerabilidade de setembro revista em outubro, e não de uma nova divulgação em outubro. Os factos abaixo provêm do JSON CVRF da MSRC de setembro de 2026.

A CVE está ausente do CISA KEV na verificação de 3 de outubro de 2026, segundo o catálogo KEV descarregado, versão 2026.10.02. Essa observação e a avaliação de exploração da Microsoft são retratos separados de um momento específico. Nenhum deles prova que a exploração não pode ocorrer nem justifica adiar a atualização.

CVE-2026-72982 Netlogon execução remota de código

A Microsoft descreve um atacante a enviar um pacote de rede especialmente concebido para um serviço afetado, podendo executar código no sistema de destino. A falha é um estouro de buffer na pilha. As perguntas frequentes publicadas excluem explicitamente dois pré-requisitos comuns: o atacante não precisa de uma conta e o utilizador não precisa de clicar nem aprovar nada. Continua a ser necessário acesso de rede ao serviço afetado.

Para os defensores, a questão imediata é, portanto, quais os sistemas afetados que continuam acessíveis e sem atualização. O CVRF não fornece uma assinatura de pacote, um evento específico de exploração nem provas de uma campanha ativa. Não deduza uma carga útil específica, uma cadeia de processos, um nível de privilégios após a exploração ou capacidade de propagação como um worm apenas a partir da pontuação.

Esta vulnerabilidade é distinta da aplicação das medidas contra Zerologon CVE-2020-1472. Esse artigo aborda a falha mais antiga no canal seguro Netlogon e o histórico de aplicação das medidas. Essas configurações e correções históricas não comprovam se a correção do estouro de buffer de setembro de 2026 está instalada.

Verificar a correção certa para cada controlador de domínio

Comece com um inventário completo dos DCs, incluindo instalações Server Core e controladores de domínio só de leitura. Registe o produto do sistema operativo, a compilação instalada, a KB aplicável, o resultado da implementação e a conclusão do reinício de cada máquina. Evite verificar um único DC visível e extrapolar o seu resultado para a floresta.

O mapeamento Windows Server seguinte resulta da junção direta das Remediations desta CVE com a ProductTree do CVRF. Abrange os produtos de servidor aí listados; o documento também lista produtos Windows cliente. Utilize o CVRF completo para a correção nos clientes.

Todas as medidas de correção por atualização de segurança acima têm RestartRequired definido como Yes. As entradas de 2012 e 2012 R2 são entradas Monthly Rollup; não generalize a elegibilidade para instalação a partir desta tabela. Verifique os acordos de manutenção aplicáveis. Um número de versão coincidente de outro produto Windows não constitui prova de cobertura.

Para um DC Windows Server 2025, a documentação Get-HotFix da Microsoft documenta a filtragem por -Id e a consulta de um computador remoto com -ComputerName. Adapte o padrão documentado à KB aplicável:

Get-HotFix -Id KB5122871

Para um DC Server 2025 remoto, substitua o nome de exemplo pelo seu anfitrião real:

Get-HotFix -Id KB5122871 -ComputerName DC01

Estes comandos foram verificados na documentação, não executados num DC de produção. Substitua pela KB da tabela para outra versão do servidor. Um registo devolvido sustenta que a atualização indicada está instalada; não prova que o reinício obrigatório foi concluído. Um erro de acesso ou de conectividade representa um resultado desconhecido, não um diagnóstico de atualização em falta.

O Get-HotFix utiliza Win32_QuickFixEngineering e tem limitações de inventário documentadas. A ausência de uma KB histórica, por si só, não permite um veredicto conclusivo de vulnerabilidade: concilie a compilação instalada e o histórico de manutenção, incluindo qualquer atualização cumulativa que a substitua, nos registos de gestão de atualizações. Não utilize apenas a data de instalação da atualização mais recente como prova de cobertura desta CVE.

Para Server 2025, a página KB5122871 da Microsoft confirma independentemente a OS Build 26100.33438. A mesma página afirma que o problema de RDS introduzido pela atualização de setembro foi resolvido nas atualizações publicadas em ou após 14 de setembro de 2026, incluindo KB5129235, e recomenda a atualização aplicável mais recente. Trate a tabela como o mapeamento da correção original e avalie depois a atualização cumulativa atualmente aplicável e os problemas conhecidos antes da implementação.

Deteção: Sinais úteis e os seus limites

A verificação de exposição com maior confiança é aqui a conformidade das atualizações para o produto exato do sistema operativo. Gere um alerta quando faltar a correção aplicável ou uma atualização substituta verificada num DC afetado, quando a implementação tiver falhado ou quando o reinício estiver pendente. Mantenha os registos de inventário inacessíveis e desatualizados numa fila explícita de resultados desconhecidos até alguém os verificar.

O Apêndice L: Eventos a monitorizar do Microsoft Learn documenta dois eventos Netlogon:

Estes são sinais da postura dos canais seguros, não indicadores documentados de exploração da CVE-2026-72982. A sua presença não comprova uma RCE bem-sucedida; a sua ausência não comprova que um DC está atualizado. Analise-os juntamente com o estado das atualizações e a telemetria existente de endpoints e de rede, em vez de criar um alerta que associe cada ocorrência a esta CVE.

A Microsoft recomenda testar as recomendações de monitorização de eventos no ambiente local e rever a configuração de registo. Confirme que a recolha funciona em cada DC antes de interpretar um painel sem atividade. O aviso primário aqui utilizado não fornece deteção KQL específica para a CVE; não existe uma assinatura de exploração verificada para reproduzir.

Remediation: Atualizar, reiniciar e esclarecer resultados desconhecidos

1. Identifique o produto antes de selecionar a atualização. Utilize a ProductID e a medida de correção do CVRF para essa versão do servidor e reveja depois a atualização cumulativa atualmente aplicável e os seus pré-requisitos.
2. Implemente através do canal de atualização estabelecido. Dê prioridade aos DCs acessíveis e sem atualização e planeie o trabalho tendo em conta a disponibilidade da autenticação. Preserve o resultado da atualização de cada anfitrião.
3. Conclua o reinício obrigatório. Um pacote descarregado, uma implementação aprovada ou uma linha de hotfix instalado não equivale a uma operação de manutenção concluída.
4. Volte a verificar a compilação em execução e as provas da atualização. Concilie o mapeamento KB/compilação, eventuais substituições e os registos de implementação. Valide a autenticação e a replicação antes de encerrar a alteração.
5. Se a atualização imediata estiver bloqueada, reduza a acessibilidade desnecessária pela rede. Restrinja o acesso a partir de segmentos não fiáveis, preservando o tráfego de domínio necessário, registe o âmbito do controlo temporário e defina um prazo para atualizar. Trata-se de uma recomendação de redução da exposição, não de uma solução alternativa documentada pela Microsoft para a falha.
6. Encaminhe atividade suspeita para a resposta a incidentes. Preserve a telemetria relevante e investigue independentemente da implementação das atualizações. A instalação da atualização não esclarece se a atividade suspeita anterior envolveu um comprometimento.

A nossa revisão de RCE em controladores de domínio de agosto de 2026 explica por que motivo um inventário que considere as funções é importante para DNS, AD CS e AD DS. Aplique aqui essa lição operacional, mantendo a CVE Netlogon de setembro como uma vulnerabilidade distinta e a respetiva correção específica de cada produto.

Como a EtcSec deteta este problema

Para esta CVE, a verificação de exposição tem de confirmar o nível real de atualização face ao mapeamento de produtos e correções da Microsoft acima. A postura da configuração, por si só, não responde a essa questão. Este artigo não associa uma etiqueta de vulnerabilidade do collector à CVE-2026-72982, porque não foi verificada uma implementação de detetor dedicado para este fluxo de trabalho.

Mantenha os resultados de postura da EtcSec juntamente com as provas de conformidade das atualizações, indicando separadamente a sua cobertura. Um resultado antigo sobre a aplicação das medidas Zerologon, uma auditoria de configuração sem problemas ou um resultado genérico do sistema operativo não deve ser apresentado como prova de que esta RCE Netlogon é detetada ou corrigida. Encerre esta CVE apenas com provas da atualização aplicável, da compilação em execução e do reinício de cada servidor afetado.