Microsoft разкри три уязвимости в Active Directory, които биха могли да позволят на отдалечен атакуващ да заобиколи ключова защитна функция в Windows домейн среди.

Проблемите се проследяват като CVE-2026-69982, CVE-2026-96252 и CVE-2026-108131, като администраторите трябва да прегледат записите в ръководството за актуализации на сигурността на Microsoft (Security Update Guide) и да внедрят наличните корекции за сигурност възможно най-скоро.

Active Directory е централната услуга за идентичност, която множество организации използват за управление на потребители, компютри, права за достъп и бизнес системи.

Слабост, която заобикаля контролен механизъм за сигурност в тази среда, може да доведе до сериозни последствия, тъй като домейн услугите се намират в основата на автентикацията и доверието. Ако атакуващ успее да достигне до открита или недостатъчно защитена домейн услуга, той може да отслаби защитните бариери, предназначени да блокират неоторизирана дейност.

Microsoft класифицира трите проблема като уязвимости за заобикаляне на защитни функции (security feature bypass). Това означава, че недостатъците не предоставят непременно пълен контрол върху сървъра на атакуващия. Вместо това те могат да позволят преодоляване на защити, които стандартно биха ограничили достъпа, валидирали заявките или предотвратили рисково поведение.

Множество уязвимости в Active Directory

Екипите по сигурност следва да третират това като казус с висок приоритет за инсталиране на корекции за сигурност, особено в мрежи, където много вътрешни системи имат достъп до услугите на Active Directory. Оповестените CVE засягат компоненти, свързани с Microsoft Active Directory, според информацията на производителя в Security Update Guide.

Официалните записи на Microsoft трябва да бъдат водещият източник за засегнатите продукти, пакетите за актуализация, нивата на критичност и насоките за ограничаване на риска, тъй като детайлите могат да се променят с публикуването на допълнителна информация от компанията.

Организациите трябва също така да се уверят, че всички домейн контролери и поддържащи Windows сървъри са получили най-новите кумулативни пакети за сигурност.

Отдалеченият характер на тези уязвимости увеличава риска за големите корпоративни мрежи. Атакуващите, които вече са проникнали в дадена мрежа, често търсят начини да достигнат до домейн контролерите, където да компрометират системите за управление на идентичността и да придобият по-широк достъп.

Заобикалянето на защитна функция може да улесни този процес, като помогне на нападателя да избегне механизъм, който иначе би спрял или засякъл подозрителната дейност.

Администраторите първо трябва да идентифицират всеки домейн контролер, включително по-стари системи, резервни контролери и машини в отдалечени офиси. Препоръчва се инсталирането на корекциите за сигурност да се тества първо в контролна среда, където е възможно, след което бързо да се разпространи върху производствените сървъри.

Екипите следва да потвърдят успешната инсталация чрез своята платформа за управление на крайни точки или отчетите на Windows Update, вместо да приемат по подразбиране, че обновлението е успешно приложено.

Мрежовите контроли запазват критичното си значение по време на отстраняването на уязвимостите. Услугите на домейн контролерите не трябва да бъдат изложени директно в публичния интернет. Организациите следва да ограничат кои хостове могат да комуникират с директорийните услуги, да изолират административните системи от потребителските мрежи и да изискват надеждна автентикация за привилегированите акаунти.

Препоръчва се и преглед на инструментите за мониторинг за необичайни грешки при автентикация, неочаквани промени в правата, нови системни акаунти или съмнителна активност около домейн контролерите. Това обновление е поредното напомняне, че инфраструктурата за идентичност изисква същия спешен процес по отстраняване на уязвимости, както и приложенията с публичен достъп.

Организациите редовно са изправени пред сериозен риск от пропуски в мрежови продукти и системи за идентичност, включително наскоро оповестени проблеми в инфраструктура за отдалечен достъп като уязвимостите в Citrix NetScaler и Gateway.

Екипите по сигурност могат също да проследят по-широкия обхват от бюлетини за сигурност на Microsoft за съпътстващи актуализации на Windows и корпоративен софтуер. В наличната документация Microsoft не съобщава за данни тези конкретни уязвимости да се експлоатират активно към момента.

Въпреки това специалистите по защита не бива да изчакват потвърждение за реални атаки, преди да инсталират обновленията. Пропуските, позволяващи заобикаляне на защитни механизми, придобиват висока стойност за киберпрестъпниците, когато се комбинират с кражба на данни за достъп, фишинг, странично движение в мрежата или друга уязвимост.

Организациите следва да се запознаят с бюлетините на Microsoft за CVE-2026-69982, CVE-2026-96252 и CVE-2026-108131 и да се уверят, че всички приложими системи с Active Directory са обновени.