V operačnom systéme Microsoft Windows Server sa objavila veľmi vážna zraniteľnosť, ktorá na stupnici CVSS V3 dosiahla takmer najvyššie možné hodnotenie závažnosti. Získala 9,8 bodu z desiatich, takže dotknuté systémy treba bezodkladne aktualizovať.
Zraniteľnosť sa týka radiča domény (Domain Controller – DC) v operačných systémoch Windows Server. Ten zabezpečuje predovšetkým overovanie používateľov a podľa ich oprávnení im umožňuje prístup k rôznym prostriedkom a ich využívanie. Okrem toho spravuje aj adresárové služby a centrálne politiky. Ide teda o komplexný softvérový komponent, ktorý je nevyhnutný na bezpečné fungovanie operačného systému aj lokálnej siete. Práve v tejto službe sa našla zraniteľnosť, ktorá nepatrí medzi zraniteľnosti nultého dňa a zasahuje serverové operačné systémy Microsoftu od Windows Server 2012 až po Windows Server 2025.
Zraniteľnosť evidovaná pod označením CVE-2026-41089 umožňuje útočníkovi vykonať v lokálnej sieti množstvo škodlivých činností. Stačí, aby radiču domény odoslal špeciálne vytvorený paket UDP, a nepotrebuje sa pritom ani vopred autentifikovať. Môže tak získať prístup s oprávneniami systému, dostať sa k citlivým údajom a na danom serveri robiť prakticky čokoľvek. Dokáže vytvoriť ľubovoľný počet používateľských účtov, prideliť im akékoľvek oprávnenia a získať prístup ku všetkým údajom v rámci domény, čo predstavuje vážny problém. V menej krajnom prípade môže útočník vyvolať iba reštart radiča domény a tým uskutočniť aj útok DDoS, ktorý môže spôsobiť nedostupnosť servera.
Microsoft pôvodne tvrdil, že podrobnosti o zraniteľnosti neboli zverejnené a nedošlo ani k jej verejnému zneužitiu. Odvtedy však uplynul určitý čas a podľa najnovších správ sa na GitHube objavili funkčné ukážky kódu na jej zneužitie. Zároveň prišli aj správy, podľa ktorých už zraniteľnosť aktívne zneužívajú kyberzločinci.
Oprava bola pre dotknuté systémy sprístupnená 12. mája 2026 v rámci pravidelných aktualizácií Patch Tuesday. Na mnohých potenciálne zasiahnutých serveroch však táto aktualizácia jednoducho nebola nainštalovaná, čo môže predstavovať obrovské bezpečnostné riziko. Podľa odborníkov na kybernetickú bezpečnosť by správcovia systémov mali k chybe pristupovať ako k hrozbe podobnej počítačovému červu. Všetky dotknuté servery by preto mali aktualizovať naraz, aby súčasne získali potrebnú ochranu a v infraštruktúre ani na okamih nezostal slabý článok.
Zverejnenie chyby je súčasťou sporu medzi Microsoftom a bezpečnostným výskumníkom vystupujúcim pod prezývkou Chaotic Eclipse. Ten v minulosti objavil väčšie množstvo zraniteľností nultého dňa v produktoch Microsoftu. Keď za ne nedostal odmeny a s Microsoftom sa nedokázal dohodnúť, začal ich zverejňovať. Spor zašiel tak ďaleko, že ho Microsoft začal riešiť právnou cestou. Výskumník medzitým pohrozil zverejnením veľkého množstva zraniteľností nultého dňa, ktoré naplánoval na 14. júla 2026. Takýto krok by mohol dostať do ťažkej situácie Microsoft aj používateľov jeho softvéru.
