Oko Microsoftova operacijskog sustava Windows Server pojavila se prilično ozbiljna ranjivost koja prema ljestvici CVSS V3 spada gotovo u najvišu klasu opasnosti, jer je na ljestvici od 10 bodova ocijenjena sa 9,8, što znači da zahvaćene sustave treba odmah ažurirati.
Ranjivost pogađa kontroler domene (Domain Controller – DC) operacijskih sustava Windows Server, koji u osnovi obavlja autentifikaciju korisnika i omogućuje im pristup različitim resursima i njihovo korištenje u skladu s razinom ovlasti, ali između ostalog upravlja i imeničkom uslugom te središnjim pravilima, dakle riječ je o složenoj softverskoj komponenti koja je neophodna za siguran rad operacijskog sustava i lokalne mreže. Ranjivost je pronađena u toj usluzi, nije zero-day i pogađa ponudu operacijskih sustava za Microsoftove poslužitelje od Windows Servera 2012 pa sve do izdanja Windows Server 2025.
Preko ranjivosti, koja se inače vodi pod oznakom CVE-2026-41089, napadač na dotičnoj lokalnoj mreži može izvesti brojne štetne radnje, a dovoljno je da DC-u pošalje pravilno oblikovan UDP paket – ne mora proći ni prethodnu autentifikaciju – nakon čega može dobiti čak i pristup na razini sustava, čime dolazi do osjetljivih podataka i na tom poslužitelju može praktički učiniti sve. Može stvoriti bilo koliko korisničkih računa, dati im bilo koje ovlasti te pristupiti svim podacima unutar dotične domene, što je ozbiljan problem. U manje ekstremnom slučaju napadač može postići i samo ponovno pokretanje DC-a, čime može izvesti i DDoS napad, što može rezultirati nedostupnošću dotičnog poslužitelja.
Microsoftov je tim ranije tvrdio da pojedinosti ranjivosti nisu objavljene pa nije došlo ni do njezina javnog iskorištavanja, no od tada je prošlo nešto vremena i prema svježim izvješćima na GitHubu su se pojavili i funkcionalni primjeri koda, a stigle su i vijesti prema kojima kibernetički kriminalci ranjivost aktivno napadaju.
Ispravak je zahvaćenim sustavima postao dostupan u sklopu svibanjskog Patch Tuesdaya 12. svibnja, no u mnogim slučajevima to ažuriranje jednostavno nije instalirano na potencijalno pogođene poslužitelje, što može predstavljati golem sigurnosni rizik. Prema stručnjacima za kibernetičku zaštitu, administratori sustava na grešku trebaju gledati kao da imaju posla s opasnošću sličnom crvu, što znači da moraju istodobno ažurirati sve zahvaćene poslužitelje kako bi svi istodobno dobili potrebnu zaštitu i da ni na trenutak ne ostane slaba karika u dotičnoj infrastrukturi.
Otkrivanje buga dio je spora koji traje između Microsofta i jednog stručnjaka za kibernetičku zaštitu: Chaotic Eclipse ranije je pronašao veću količinu zero-day ranjivosti na Microsoftovoj strani, a nakon što za bugove nije dobio nagrade, odnosno nije se uspio dogovoriti sa Microsoftovim stručnjacima, počeo ih je otkrivati. Spor je eskalirao do te mjere da Microsoft sada stvar prebacuje na pravni put, a stručnjak za kibernetičku zaštitu najavio je da će 14. srpnja 2026. objaviti veliku količinu zero-day ranjivosti, što Microsofta – i korisnike softvera – može dovesti u tešku situaciju.
