微软修补Windows Active Directory中的关键远程代码执行和拒绝服务漏洞

微软在其2026年11月更新周期中披露并修补了Windows Active Directory中的两个关键安全漏洞，解决了可能导致企业身份基础设施面临远程代码执行和网络级拒绝服务攻击的缺陷。根据微软安全响应中心的公告和GBHackers的报道，这些漏洞允许持有基本、低级别网络凭据的攻击者在无需管理员交互的情况下，在企业环境中执行任意代码或导致目录服务崩溃。

这些缺陷的修复对于全球企业安全团队和技术管理员而言具有紧迫性。由于Windows Active Directory是绝大多数财富500强网络中核心的零级（Tier-0）身份验证和访问控制骨干，任何降低横向移动或服务中断门槛的缺陷都代表着系统性的运营风险。通过常规网络钓鱼或凭据填充活动获取标准员工凭据的攻击者，可能会利用这些漏洞来提升权限或瘫痪企业身份验证工作流程。

Active Directory漏洞的技术机制

新披露的两个缺陷中，更严重的一个被追踪为CVE-2026-119948，其通用漏洞评分系统（CVSS）基础分数为7.5。安全文档将此问题归类为基于堆栈的缓冲区溢出，在通用弱点枚举中指定为CWE-121。实际上，Active Directory服务中不当的边界检查允许具有低权限的已认证用户发送特制网络请求，从而覆盖堆栈内存，最终在无需任何用户交互的情况下，通过企业网络实现任意代码执行。

除了代码执行缺陷，微软还解决了第二个漏洞CVE-2026-105559，该漏洞的CVSS评分为6.5。此缺陷被归类为不可信指针解引用（CWE-822），源于服务尝试使用未经验证的指针地址读取或写入内存。CVE-2026-105559攻击复杂度低，允许低权限的已认证攻击者触发未处理的异常，导致Active Directory服务崩溃，从而有效切断受影响域的身份验证和目录查找功能。

企业范围和运营影响

微软安全响应中心披露的受影响范围涵盖了十多年来的企业和客户端操作系统版本。受影响的工作站环境包括Windows 10和Windows 11的受支持版本。在数据中心和企业基础设施方面，这些漏洞影响Windows Server 2016、Windows Server 2019、Windows Server 2022以及新部署的Windows Server 2025平台，明确包括常用于域控制器的无头Server Core安装。

从运营角度看，低攻击复杂度和最小权限要求的结合，放大了这两个CVE的威胁程度。在现代企业数据泄露事件中，初始访问代理通常会获取标准域用户账户。一旦进入内部，攻击者可以利用CVE-2026-119948通过标准内部网络协议直接攻击域控制器，实现远程代码执行。即使通过端点保护措施缓解了完全代码执行，攻击者或内部人员仍可利用CVE-2026-105559反复强制域控制器离线，从而中断跨业务部门的单点登录、组策略实施和Kerberos票据发放。

补丁部署优先级和防御态势

网络安全防御者强调，加速部署2026年11月的安全更新对于维护零级（Tier-0）目录完整性至关重要。由于域控制器无法在没有仔细故障转移编排的情况下轻易离线，基础设施团队必须在快速补丁推出与变更管理稳定性之间取得平衡，在分阶段维护窗口中优先处理冗余域控制器和无头Server Core实例。

除了应用微软官方补丁外，建议企业安全架构师审计Active Directory身份验证日志，以查找源自标准用户工作站并指向域控制器接口的异常网络流量。加强身份卫生——包括对零级（Tier-0）资产进行严格网络分段、持续监控受损的低权限凭据以及强制执行最小权限访问策略——对于限制混合企业网络中目录级漏洞的爆炸半径仍然至关重要。