マイクロソフト、Windows Active Directoryの重大なRCEおよびDoS脆弱性を修正

マイクロソフトは、2026年11月の更新サイクルにおいて、Windows Active Directory内の2つの重大なセキュリティ脆弱性を開示し、修正しました。これにより、エンタープライズのIDインフラストラクチャをリモートコード実行およびネットワークレベルのサービス拒否に晒す欠陥が解決されました。Microsoft Security Response Centerの勧告およびGBHackersの報告によると、これらの脆弱性により、基本的な低レベルのネットワーク認証情報を持つ攻撃者が、管理者の操作を必要とせずに、企業環境全体で任意のコードを実行したり、ディレクトリサービスをクラッシュさせたりすることが可能になります。

これらの欠陥の修正は、世界のエンタープライズセキュリティチームおよびテクノロジー管理者にとって喫緊の課題です。Windows Active Directoryは、Fortune 500企業のネットワークの大部分において、中心的なTier-0認証およびアクセス制御のバックボーンとして機能するため、横方向の移動やサービスの中断の障壁を下げる欠陥は、システム的な運用リスクを意味します。通常のフィッシングやクレデンシャルスタッフィングキャンペーンを通じて標準的な従業員の認証情報を取得した攻撃者は、これらの脆弱性を悪用して特権を昇格させたり、企業の認証ワークフローを麻痺させたりする可能性があります。

Active Directoryの欠陥の技術的メカニズム

今回開示された2つの欠陥のうち、より深刻なものはCVE-2026-119948として追跡されており、共通脆弱性評価システム（CVSS）の基本スコアは7.5です。セキュリティ文書では、この問題はスタックベースのバッファオーバーフローとして分類されており、共通脆弱性識別子（CWE）ではCWE-121として指定されています。実質的には、Active Directoryサービス内の不適切な境界チェックにより、低特権の認証済みユーザーが特別に細工されたネットワークリクエストを送信してスタックメモリを上書きし、最終的にユーザーの操作なしに企業ネットワーク上で任意のコード実行を可能にします。

コード実行の欠陥と並行して、マイクロソフトはCVE-2026-105559として追跡される2番目の脆弱性に対処しました。これにはCVSSスコア6.5が割り当てられています。信頼できないポインタの逆参照（CWE-822）として分類されるこの欠陥は、サービスが不適切に検証されたポインタアドレスを使用してメモリの読み書きを試みることに起因します。攻撃の複雑性が低いことが特徴のCVE-2026-105559は、低特権の認証済み攻撃者が未処理の例外をトリガーしてActive Directoryの可用性をクラッシュさせ、影響を受けるドメイン全体で認証およびディレクトリ検索機能を事実上遮断することを可能にします。

エンタープライズの範囲と運用への影響

Microsoft Security Response Centerによって開示された露出範囲は、10年以上にわたるエンタープライズおよびクライアントオペレーティングシステムのリリースに及びます。影響を受けるワークステーション環境には、Windows 10およびWindows 11のサポートされているビルドが含まれます。データセンターおよびエンタープライズインフラストラクチャ側では、この脆弱性はWindows Server 2016、Windows Server 2019、Windows Server 2022、および新たに展開されたWindows Server 2025プラットフォームに影響を与え、ドメインコントローラーで頻繁に使用されるヘッドレスServer Coreインストールも明示的に含まれます。

運用上の観点から見ると、攻撃の複雑性が低いことと、最小限の特権要件が重なることで、両方のCVEの脅威プロファイルが増幅されます。現代の企業侵害では、初期アクセスブローカーが日常的に標準的なドメインユーザーアカウントを収集します。境界内に侵入した後、CVE-2026-119948を悪用する攻撃者は、標準的な内部ネットワークプロトコルを介してドメインコントローラーを直接標的にし、リモートコード実行を達成する可能性があります。エンドポイント保護によって完全なコード実行が軽減される場合でも、攻撃者または内部関係者はCVE-2026-105559を悪用してドメインコントローラーを繰り返しオフラインに強制し、ビジネスユニット全体でシングルサインオン、グループポリシーの適用、およびKerberosチケット発行を停止させる可能性があります。

パッチ展開の優先順位と防御態勢

サイバーセキュリティの防御側は、Tier-0ディレクトリの整合性を維持するために、2026年11月のセキュリティ更新プログラムの迅速な展開が不可欠であると強調しています。ドメインコントローラーは、慎重なフェイルオーバー調整なしに簡単にオフラインにすることはできないため、インフラストラクチャチームは、迅速なパッチロールアウトと変更管理の安定性のバランスを取り、段階的なメンテナンスウィンドウで冗長なドメインコントローラーとヘッドレスServer Coreインスタンスを優先する必要があります。

公式のマイクロソフトパッチを適用するだけでなく、エンタープライズセキュリティアーキテクトは、標準的なユーザーワークステーションからドメインコントローラーインターフェースへの異常なネットワークトラフィックがないか、Active Directory認証ログを監査することが推奨されます。Tier-0資産周辺の厳格なネットワークセグメンテーション、侵害された低特権認証情報の継続的な監視、最小特権アクセスポリシーの実施を含むID衛生の強化は、ハイブリッド企業ネットワークにおけるディレクトリレベルの脆弱性の爆発半径を制限するために引き続き不可欠です。