CVE-2026-41089: Execução Remota de Código no Windows Netlogon da Microsoft
O registro da Microsoft descreve um estouro de buffer baseado em pilha (CWE-121) no Windows Netlogon que permite a um atacante não autorizado executar código pela rede, com pontuação base CVSS de 9.8 (crítica). O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA e não traz evidência de exploração confirmada nas fontes consultadas. Como o registro não possui campo de versão corrigida, as compilações corrigidas aqui citadas são inferidas a partir dos intervalos afetados, e o aviso do fabricante vinculado deve ser consultado para confirmação.
Visão geral
O registro descreve um estouro de buffer baseado em pilha (CWE-121) no Windows Netlogon. Segundo a descrição, um atacante não autorizado poderia executar código pela rede. O registro foi publicado em 12/05/2026, tem a Microsoft como CNA e aponta para a entrada correspondente no Guia de Atualização do MSRC.
Impacto
- O registro afirma que a exploração bem-sucedida permitiria a um atacante não autorizado executar código pela rede.
- A pontuação base CVSS informada é 9.8 (crítica), o que reflete vetor de ataque pela rede, baixa complexidade, ausência de privilégios exigidos e nenhuma interação do usuário.
- Os dados SSVC do registro indicam impacto técnico total e automatizável como sim.
Produtos e versões afetadas
O registro lista Windows Server 2012, 2012 R2, 2016, 2019, 2022 e 2025, incluindo as instalações Server Core. Os intervalos abaixo seguem a forma como o registro os apresenta:
- Windows Server 2012: de 6.2.9200.0 até antes de 6.2.9200.26079. O registro também traz uma entrada para este produto cuja versão não é especificada pela fonte.
- Windows Server 2012 R2: de 6.3.9600.0 até antes de 6.3.9600.23181.
- Windows Server 2016: antes de 10.0.14393.9140, e de 10.0.14393.0 até antes de 10.0.14393.9140.
- Windows Server 2019: antes de 10.0.17763.8755, e de 10.0.17763.0 até antes de 10.0.17763.8755.
- Windows Server 2022: antes de 10.0.20348.5074, e de 10.0.20348.0 até antes de 10.0.20348.5139.
- Entrada Windows Server 2022 23H2: antes de 10.0.25398.2330. A variante Server Core aparece de 10.0.25398.0 até antes de 10.0.25398.2330.
- Windows Server 2025: antes de 10.0.26100.32772, e de 10.0.26100.0 até antes de 10.0.26100.32860.
O registro não traz campo de versão corrigida, portanto os limites acima devem ser lidos como fronteiras informadas pela fonte, e não como uma lista confirmada de compilações corrigidas.
Status de exploração
O registro indica que a vulnerabilidade não está listada no catálogo KEV da CISA, por isso esta análise não descreve exploração ativa. Nas fontes consultadas não há evidência confirmada de exploração. O registro traz probabilidade EPSS de 0,00974 e percentil de 0,61728, além de valor SSVC de exploração igual a none.
Correção e mitigação
- Consulte o aviso do fabricante vinculado no registro, a entrada do Guia de Atualização do MSRC para CVE-2026-41089, e aplique a atualização de segurança correspondente a cada edição afetada.
- Inventarie os servidores Windows Server por edição e número de compilação, e compare com os intervalos acima para identificar sistemas abaixo dos limites informados.
- Priorize servidores que executam o serviço Netlogon e que sejam acessíveis a partir de segmentos de rede menos confiáveis, já que o registro descreve exploração pela rede.
- O registro não descreve medidas alternativas. Qualquer medida provisória deve ser validada com as orientações do fabricante antes da aplicação.
Orientações de detecção
- Acompanhe os números de compilação dos sistemas Windows Server para confirmar a aplicação da atualização em todo o parque.
- Monitore falhas inesperadas, reinicializações ou comportamento anormal do serviço Netlogon nos servidores.
- Revise a telemetria de rede em busca de tráfego Netlogon incomum originado de segmentos não confiáveis, e correlacione com os logs de autenticação.
Limitações das informações disponíveis
- O registro não contém campo de versão corrigida, por isso as compilações corrigidas não são confirmadas além dos intervalos afetados.
- O registro inclui uma entrada afetada cuja versão não é especificada pela fonte.
- Dois limites sobrepostos são listados para Windows Server 2022 e Windows Server 2025, e o registro não explica seu significado exato.
- Não há detalhes de exploração, informações de prova de conceito nem medidas alternativas no registro.
- Os dados EPSS e SSVC vêm do registro e não foram verificados de forma independente nesta análise.
Perguntas frequentes
Quais sistemas o CVE-2026-41089 afeta?
O registro lista Windows Server 2012, 2012 R2, 2016, 2019, 2022 e 2025, incluindo as instalações Server Core. Os intervalos afetados estão no corpo desta análise, conforme apresentados pela fonte.
Esta vulnerabilidade está sendo explorada ativamente?
O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA, e nas fontes consultadas não há exploração confirmada. O valor SSVC de exploração no registro é none.
O que os administradores devem fazer primeiro?
Consulte o aviso da Microsoft vinculado no registro, inventarie as compilações do Windows Server em relação aos limites informados e aplique a atualização de segurança correspondente. O registro não descreve medidas alternativas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.