Microsoftは2026年11月10日、認証済みの攻撃者がネットワーク経由でコードを実行したり、サービスを妨害したりできる、Windows Active Directoryの2件の脆弱性に対処するセキュリティ更新プログラムを公開しました。
脆弱性はCVE-2026-119948とCVE-2026-105559として追跡されており、いずれもMicrosoftの深刻度評価で「重要（Important）」に分類されています。両者はメモリ安全性に関する別種の不具合で、スタックベースのバッファオーバーフローと、信頼できないポインタの参照が原因です。
どちらもユーザー操作は不要ですが、低い権限が必要です。そのため、公開されたインフラに対する認証不要の攻撃とは性質が異なります。影響を受けるWindows製品ファミリーと公開日は共通ですが、影響の内容は大きく異なります。
CVE-2026-119948の原因はスタックベースのバッファオーバーフロー（CWE-121）で、CVSS 3.1のベーススコアは7.5です。この種の弱点は、ソフトウェアがスタック上に確保したバッファの範囲を超えてデータを書き込むことで発生し、隣接するデータや実行制御情報が破壊される可能性があります。
同様のスタックベースのバッファオーバーフローの悪用事例は、メモリ破壊型の脆弱性が広く存在することを示しています。ただし、Microsoftの公表内容では、影響を受ける関数やリクエストの構造、ペイロードの形式は明らかにされていません。
悪用に成功すると、機密性、完全性、可用性のすべてに高い影響が及びます。一方、セキュリティ情報では、コードが実行される際の権限や、ドメイン全体が完全に侵害されるかどうかは確認されていません。
このリモートコード実行の経路は、攻撃の複雑さが高いとされています。Microsoftによると、悪用が成立するには特定のプロトコル設定や構成が必要であり、大規模な攻撃が行われる可能性は低くなります。
同社の評価では、悪用される可能性は「低い（less likely）」とされており、公開時点で情報の公開や悪用の確認はありません。認証が重要な前提条件である点は変わりません。別の攻撃キャンペーンでは、窃取されたLDAPサービスアカウントの認証情報が使われ、攻撃者がディレクトリ基盤にアクセスできる実態が明らかになっています。
ただしMicrosoftは、こうしたキャンペーンや認証情報の窃取手法、特定の攻撃グループと、今回公表された脆弱性との関連を示していません。
CVE-2026-105559のCVSS 3.1ベーススコアは6.5で、信頼できないポインタの参照（CWE-822）に分類されます。攻撃元区分はネットワークで、必要な権限は低く、ユーザー操作は不要です。攻撃の複雑さも低いとされています。
評価では、可用性への影響は高い一方、機密性と完全性への影響はありません。この点で、コード実行につながるCVE-2026-119948とは区別され、サービス妨害にとどまる脆弱性と位置づけられます。
Microsoftはこちらも、悪用される可能性は「低い」と評価しています。セキュリティ情報の概要には一般的な表現が使われていますが、構造化された弱点フィールドでは、ポインタ処理の不具合であることが明記されています。クラッシュ時の詳しい挙動や復旧に必要な条件は、公表されていません。
影響を受ける製品には、Windows Server 2016、2019、2022、2025（記載のあるServer Coreインストールを含む）のほか、複数のWindows 10およびWindows 11のリリースが含まれます。
サーバー向けの更新プログラムは、Server 2016がKB5131291、Server 2019がKB5131085、Server 2022がKB5131090です。対応する更新後のビルドは、それぞれ10.0.14393.9688、10.0.17763.9487、10.0.20348.5870です。
Server 2025には、KB5131080とKB5131077の2つの更新オプションがあります。管理者は、記載されているすべてのビルドが、展開構成やホットパッチの適用可否にかかわらず互換だとみなすのではなく、該当するサービスブランチに合ったパッケージを選ぶ必要があります。
組織は、該当する更新プログラムを適用し、影響を受けるすべてのシステムでインストール済みのビルドを確認することが求められます。パッチ適用に加えて、ディレクトリの公開状況の見直しも行うべきです。特に、一般のアカウントが機密性の高いサービスに到達できる環境では重要です。
随意アクセス制御リスト（DACL）を評価すれば、過剰な権限の特定に役立ちます。ただし、権限の変更はMicrosoftの修正プログラムの代わりにはなりません。悪用可能性の評価は、展開の優先度を判断する材料にすぎず、根本的なセキュリティリスクがなくなるわけではありません。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試す
翻訳元: https://cyberpress.org/windows-active-directory-security-flaws/
