Microsoft отстрани уязвимост в Windows Server, която позволява на атакуващ в съседна мрежа да срине сървър чрез манипулиран Distributed File System (DFS) referral отговор. Проследявана като CVE-2026-70111, уязвимостта засяга Windows Server 2019, 2022 и 2025.

Изследователи от Corelight съобщиха за проблема, след като го откриха при тестване на интерфейсите Microsoft Remote Procedure Call (MS-RPC) и DFS. Компанията заяви, че не е забелязала признаци на активна експлоатация при оповестяването на уязвимостта на 13 октомври 2026 г. Уязвимостта носи риск от отказ на услуга (denial-of-service), а не от превземане на сървъра. Нападателят се нуждае от мрежов достъп, за да накара целевата система да се свърже със злонамерен SMB сървър, който връща деформиран DFS referral, водещ до срив на услугата — процес, който според Corelight може да отнеме секунди.

Windows използва DFS за насочване на потребители и системи към файлове, съхранявани в мрежата. Когато Windows Server обработва DFS път, компонент, наречен mup.sys, изисква referral информация през SMB. От Corelight установиха, че манипулиран отговор може да достигне уязвим кодов път, докато драйверът обработва DFS referral заявката.

Докладваната причина е липсваща проверка на дължината. В конкретен NameList referral дадено отместване може да сочи към празен низ. Сървърният код не отхвърля тази стойност преди обработката ѝ и ядрото може да попадне на невалидна препратка към паметта. Резултатът е син екран и неочаквано рестартиране.

От Corelight са възпроизвели срива 11 от 11 пъти на Windows Server 2022 и 3 от 3 пъти на Server 2019. Тези резултати показват, че проблемът е напълно възпроизводим в лабораторията на изследователите.

Zero-day уязвимост в Microsoft Windows Server

Те обаче не показват колко често организациите използват тази функционалност. От Corelight уточниха, че Windows 10 не е засегнат, тъй като съдържа проверки, които отсъстват от засегнатите версии на Windows Server.

Windows Server може да се рестартира автоматично след грешка в ядрото, което може да ограничи продължителността на единично прекъсване. Въпреки това атакуващ, който може многократно да задейства уязвимостта, е в състояние да държи системата офлайн.

Въздействието зависи от това кои сървъри са достъпни и атакувани. Повтарящите се сривове на важни системи, като например домейн контролери, биха могли да нарушат работата на ключови услуги в цялата организация.

Според Corelight рестартиранията могат да оставят минимални следи освен събития с Event ID 41 и 6008 в системния журнал на Windows, които указват неочаквано спиране, без да обясняват причината. Това прави мониторинга на мрежата критично важен за идентифициране на активността преди и след срива. Обновяването за сигурност на Microsoft от октомври 2026 г., публикувано на 13 октомври, коригира CVE-2026-70111 в Windows Server 2019, 2022 и 2025. Организациите трябва да приложат съответната корекция за сигурност и да приоритизират сървърите, които активно използват DFS.

Corelight съветва да се наблюдава вътрешният трафик („изток-запад“) по протокола SMB между сървърите и домейн контролерите, а не само трафикът, преминаващ през периметъра.

Изследователите посочват, че регистрационните файлове за връзки на Zeek могат да покажат внезапно затихване на сесиите по време на срив и дейности по рестартиране на сесиите, след като сървърът се възстанови. Внезапно струпване на състояния на връзката като S1, RSTR или RSTRH, включващи един и същ сървър, може да налага разследване. Въпреки това само тези признаци не доказват експлоатация.

CVE-2026-70111 показва как пропусната проверка на входните данни в драйвер на ядрото може да превърне мрежов отговор в спиране на сървъра.

Инсталирането на корекции за сигурност на засегнатите системи и наблюдението на вътрешните SMB трансакции са ключови стъпки за намаляване на риска. Техническите констатации и подробностите за обновяването са описани в доклада на Corelight.