新たに公開されたWindows Serverのゼロデイ脆弱性により、ネットワークにアクセスできる攻撃者が、細工された1つの分散ファイルシステム（DFS）の参照応答を送るだけで、影響を受けるシステムをクラッシュさせることが可能です。
この脆弱性は「CVE-2026-70111」として追跡されており、Windows Server 2019、2022、2025に影響します。Corelightによると、Microsoftは2026年10月の更新プログラムを通じて10月13日に修正を公開しました。公開時点で、悪用は確認されていません。
脆弱性が存在するのは、DFSパスを解決するWindowsカーネルドライバー「mup.sys」です。悪用に管理者権限は必要なく、正規のドメインコントローラーを侵害する必要もありません。
ただし、「単一パケット」とはクラッシュを引き起こす応答のことであり、攻撃全体の流れを指すものではありません。攻撃者はまず、標的に攻撃者管理下のSMBサーバーと通信させる必要があります。
Corelightのトラビス・グリーン氏とLabsチームは、Microsoft Remote Procedure Call（MS-RPC）とDFSインターフェースにおける認証強制（authentication coercion）の手法を調査する中で、この問題を発見しました。
当初の目的は、サーバーに外向きのSMB接続を強制し、NTLM認証情報を窃取（キャプチャ）またはリレーできる状態にする方法を見つけることでした。
グリーン氏は、UUID 4fc742e0-4a10-11cf-8273-00aa004ae673で識別されるNetDFS管理インターフェースを調べました。この実行チェーンでは、mup.sysがドメインコントローラーに向けてFSCTL_DFS_GET_REFERRALSリクエストを発行します。
接続先を操作し、なりすましたサーバーからの応答をファジングしたところ、想定外にカーネルクラッシュが発生しました。テストでは、Windows Server 2022に対する11回の試行すべてと、Windows Server 2019に対する3回の試行すべてで障害を再現できました。
攻撃では、被害側が参照を要求すると、不正なSMBサーバーが細工したDFS_REFERRAL_V3ペイロードを返します。脆弱なドライバーはPktExpandSpecialEntryFromReferral()を通じてNameList参照を処理し、ExpandedNameOffsetを使ってドメインコントローラー名の位置を特定したうえで、wcslen()を呼び出します。
以前のWindowsビルドでは、展開された名前に文字が含まれているかを確認していました。Corelightによると、影響を受けるServerビルドにはこのチェックがありません。
そのため、空のWCHAR文字列を指すオフセットが安全でない処理に到達し、カーネルのヌルポインター参照が発生します。その結果、数秒以内にブルースクリーンでクラッシュします。Windows 10には該当するチェックが残っており、影響を受けません。
自動再起動が有効なら個々の停止時間は短くなる可能性があります。しかし、攻撃を繰り返せば、サーバーを使用不能な状態に保つこともできます。ドメインコントローラーを同時に狙われれば、組織の業務に深刻な支障が出るおそれがあります。
管理者は、予期せぬシャットダウンの後にシステムイベントID 41と6008を確認する場合があります。ただし、原因を説明する有用なミニダンプは残りません。Corelightは、DFSを使用しているサーバーの更新を優先するよう推奨しています。あわせて、内部のSMB2トラフィックを監視することも勧めています。境界部分だけの可視化では、ネットワーク内部で完結するやり取りを見逃しかねないためです。
Corelight Feedには、不正な形式の応答を検知するSuricataシグネチャが含まれています。また、Zeekのconn.logでも補足的な証拠を得られます。復旧中にS1セッションが集中して発生し、その後にRSTRまたはRSTRHの状態が続くパターンです。
これらのパターンは接続の中断とその後のリセットを示しますが、それだけで悪用を証明できるわけではありません。対策の基本はMicrosoftの修正プログラムの適用です。検知で対応範囲を補っても、影響を受けるサーバーへの迅速なパッチ適用の代わりにはなりません。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームでの導入を検討する
翻訳元: https://cyberpress.org/windows-server-zero-day-flaw/
