Windows Netlogonの脆弱性がサイバー攻撃に悪用(CVE-2026-41089)|セキュリティとITのニュース-セキュリティ対策Lab

投稿日時: 2026年06月04日更新日時: 2026年06月04日

2026年5月12日のPatch Tuesdayで修正されたWindows Netlogonの脆弱性CVE-2026-41089（CVSS 9.8）について、ベルギーのサイバーセキュリティセンター（CCB）が「信頼できるパートナーからの情報」に基づきサイバー攻撃への悪用が発生していると警告しています。

最大のリスクは、この脆弱性が認証を一切必要としない「ゼロクリック」のリモートコード実行であるという点です。攻撃者はドメインコントローラーへのネットワーク到達性さえあれば、細工したNetlogonリクエストを送信するだけでSYSTEM権限でのコード実行が可能であり、Active Directoryドメイン全体の完全制御の恐れがあります。

なおMicrosoftはSecurityWeekへの回答で「CCBの主張を裏付ける証拠は確認されていない」と述べていますが、同時に「未パッチのシステムへの最新セキュリティ更新の適用を推奨する」とも表明しています。

Automox CTOのJason Kikta氏は「認証前のDCバグに対してハーフパッチのフォレストは防御可能な状態ではない」と警告し、全ドメインコントローラーへの同一メンテナンスウィンドウでのパッチ適用を強く求めています。本記事ではCVE-2026-41089の技術的詳細・攻撃シナリオ・CCBとMicrosoftの見解の相違・影響バージョン・緊急対応策を解説します。

サマリー

CVE-2026-41089はWindows Netlogonのスタックバッファオーバーフロー（CWE-121）。2026年5月12日のPatch Tuesdayで修正。発見者はMicrosoftのWindows Attack Research & Protection（WARP）チーム
CVSS 3.1スコア：ベーススコア9.8（攻撃ベクター：ネットワーク、認証不要、ユーザー操作不要）。機密性・完全性・可用性すべてに完全な影響
認証なし・ユーザー操作なしのゼロクリックRCE。ドメインコントローラーへのネットワーク到達性があれば誰でも悪用可能
ベルギーサイバーセキュリティセンター（CCB）が「野放し悪用中」と警告。Microsoftは「証拠なし」とするも最新パッチの適用を推奨
Automox CTO Jason Kikta氏：「同一メンテナンスウィンドウで全DCにパッチ適用が必要。半パッチのフォレストは防御不可能」
影響範囲：Windows Server 2012 R2以降の最新バージョンまで（ドメインコントローラー構成時）
Netlogonは2020年のZerologon（CVE-2020-1472）でも国家系APTに大規模悪用された実績を持つ高価値ターゲット

1 脆弱性の技術的詳細—スタックバッファオーバーフローによるSYSTEM権限取得
2 Netlogonとは何か—Active Directoryの認証基盤が攻撃対象になる意味
3 CCBとMicrosoftの見解の相違——「野放し悪用中」対「証拠なし」
4 「半パッチのフォレストは防御不可能」——AutomoxのCTO Jason Kikta氏の警告
5 影響を受けるバージョンとパッチ情報
6 情報システム担当者が今すぐ取るべき対応
7 FAQ
8 参考情報

脆弱性の技術的詳細—スタックバッファオーバーフローによるSYSTEM権限取得

Microsoft Security Response Center（MSRC）の公式アドバイザリによれば、CVE-2026-41089はWindowsのNetlogonサービスにおけるスタックベースのバッファオーバーフロー（CWE-121: Stack-based Buffer Overflow）です。

CVSSベクター文字列はCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:U/RL:O/RC:Cで、各要素の意味は次のとおりです。AV:N（ネットワーク越しに悪用可能）、AC:L（攻撃の複雑さが低い）、PR:N（特権・認証不要）、UI:N（ユーザー操作不要）、C/I/A:H（機密性・完全性・可用性すべてに完全な影響）。これがCVSSベーススコア9.8という評価につながっています。

Microsoftは公式アドバイザリでの脆弱性の説明として「攻撃者はドメインコントローラーとして動作するWindowsサーバーに特別に細工されたネットワークリクエストを送ることができます。成功した場合、Netlogonサービスがそのリクエストを不適切に処理し、攻撃者がサインインや事前アクセスなしにシステム上でコードを実行できる可能性があります」としています。

CyberPressの分析によれば、この脆弱性を悪用した場合の実際のインパクトはSYSTEM権限での任意コード実行です。Netlogonが処理する特定のネットワークトラフィックに不正な入力を与えることでスタック上のバッファをオーバーフローさせ、制御フローを奪う古典的な攻撃手法ですが、その影響範囲はドメインコントローラーというActive Directoryの中枢に及ぶため、影響は甚大です。

本脆弱性はMicrosoftのWindows Attack Research & Protection（WARP）チームが発見・報告したものです。内部チームによる発見であるため、当初「公開される前に悪用されていない」という評価がなされましたが、CCBの警告はその前提を覆しています。

Netlogonとは何か—Active Directoryの認証基盤が攻撃対象になる意味

Windows Netlogonはドメインベースのネットワークで認証とセキュア通信を担うコア背景サービスです。具体的には、ユーザー・コンピュータ・サービスの認証処理、ドメインコントローラーへのセキュアチャネルの確立、ドメインコントローラー間のレプリケーション認証、グループポリシーの配布を管理しています。

このサービスが侵害されることが何を意味するかは明確です。ドメインコントローラーの完全制御を得た攻撃者は、Active Directoryドメイン内のすべてのユーザーアカウント・グループポリシー・パスワードハッシュへのアクセスを持ちます。これは実質的に「組織全体のActive Directory環境の完全侵害」を意味し、横断的なラテラルムーブメント、権限昇格、ランサムウェアの全域展開、データ一括窃取につながります。

Netlogonの脆弱性がいかに危険かを示す歴史的事例として、2020年のCVE-2020-1472（Zerologon）があります。Zerologonはゼロから特権なしでActive Directoryドメイン全体を完全に制圧できる脆弱性であり、NSA・CISA・CISAが共同緊急指令を発令しました。CVE-2026-41089はZerologonほど直接的な「即時ドメイン掌握」を実現するものではないとされていますが、SYSTEM権限でのドメインコントローラーへのコード実行という影響は質的に同等の危険性を持ちます。

CCBとMicrosoftの見解の相違——「野放し悪用中」対「証拠なし」

本事案の重要な特徴として、ベルギーのサイバーセキュリティセンター（CCB）とMicrosoftの間で「実際に悪用されているか」という事実認識に相違が生じています。

CCBは5月30日（金曜日）に公式Xアカウントで「WindowsのNetlogonにあるCVE-2026-41089が野放しで積極的に悪用されており、RCEにつながる可能性がある。CVSS(3.1)：9.8。できるだけ早くパッチを適用してください」と警告しました。CCBはBleepingComputerへの回答で、この野放し悪用に関する情報は「信頼できるパートナーからの情報」に基づくと説明しましたが、攻撃の技術的な詳細は現時点で公開していません。

これに対してMicrosoftはSecurityWeekへの回答で「CCBの主張を裏付ける証拠は確認されていない」と述べました。同時に「CVE-2026-41089のガイダンスに従い、この脆弱性から保護するために未パッチのシステムに最新のセキュリティ更新プログラムをインストールすることを顧客に推奨します」とも表明しています。

この状況は前報のPalo Alto Networks CVE-2026-0257でも見られたパターンと類似しています。当初Palo Alto Networksが「悪用の証拠なし」としていた脆弱性が後に実際の攻撃で確認され、評価が引き上げられた経緯があります。Microsoftが現時点で証拠確認をしていないことは「悪用されていない」の証明にはなりません。

「半パッチのフォレストは防御不可能」——AutomoxのCTO Jason Kikta氏の警告

Help Net Securityが引用したAutomoxのCTO Jason Kikta氏のコメントは、今回の対応において特に重要な実務的指針を示しています。

Kikta氏は「すべてのドメインコントローラーを同一のメンテナンスウィンドウでパッチ適用すること」を求め、「認証前のDCバグに対して半パッチのフォレストは防御可能な状態ではない」と警告しました。また、ネットワーク層でNetlogonトラフィックを制限し、DCの露出状況を見直すことも推奨しています。

この警告が示す技術的な背景は次のとおりです。Netlogonはドメインコントローラー間のレプリケーションと認証にも使用されます。一部のDCにはパッチが適用されていて他には適用されていない「半パッチ状態」では、未パッチのDCを踏み台にしてパッチ済みDCへの攻撃が成立する可能性があります。ゼロクリック・プリオース（事前認証不要）のRCEを悪用する攻撃者にとって、一つでも未パッチのDCがあれば十分な足がかりになります。

CyberPressの分析も「ゼロクリックのプリオース設計は、自動化された悪用、急速なラテラルムーブメント、そして最初の足がかりが確立された後のワーム様の伝播の可能性を与える」と指摘しており、Active Directory環境全体の「一掃」リスクが現実的に存在します。

影響を受けるバージョンとパッチ情報

Microsoft MSRCアドバイザリによれば、CVE-2026-41089は2026年5月12日のPatch Tuesdayの136件の修正に含まれています。影響を受けるバージョンはWindows Server 2012 R2以降の複数のWindowsServerバージョンで、ドメインコントローラーとして構成されているサーバーが主な対象です。パッチはWindows Update・Windows Server Update Services（WSUS）・Microsoft Updateカタログから入手できます。

ドメインコントローラーのOSバージョン別に適用すべき更新プログラムのKB番号はMSRCアドバイザリページの「Affected Products」セクションで確認できます。

情報システム担当者が今すぐ取るべき対応

最優先：全ドメインコントローラーへの同一ウィンドウでのパッチ適用です。Kikta氏の警告どおり、一部のDCのみにパッチを当てた「半パッチ状態」は避けてください。パッチ適用の計画段階で、環境内のすべてのDC（プライマリ・RODC・サイト別DC含む）をリストアップし、同一のメンテナンスウィンドウで一斉適用する手順を策定してください。

ネットワーク層でのNetlogonトラフィック制限として、Netlogonが使用するポート（TCP/UDP 445）へのアクセスを信頼済みのサブネット・サーバーに限定するファイアウォールルールを設定することで、攻撃者が脆弱なDCに到達できる範囲を最小化できます。インターネット側からのNetlogonへの直接アクセスは当然ブロックすべきですが、内部ネットワークのセグメンテーションも重要です。

侵害の痕跡モニタリング強化として、DCのイベントログで以下を確認してください。Netlogon関連の異常な認証エラー（Netlogon 5805等）、見慣れないIPアドレスからのDCへの接続、管理者グループへの不審な追加、パッチ適用後もNetlogon関連のクラッシュやエラーが発生している場合は侵害の可能性を検討してください。

FAQ

Q. MicrosoftがCCBの主張を否定しているのであれば、緊急対応は不要ですか？ A. いいえ。Microsoftは「証拠なし」としながらも「最新パッチの適用を強く推奨する」と表明しています。CVSSベーススコア9.8という最高水準の深刻度、認証不要のゼロクリックRCEという性質、Active Directoryへの甚大な影響、そしてCCBが信頼できる情報源からの情報として警告を発していることを総合すると、Microsoftの「証拠なし」を安全の根拠とすることは危険です。「証拠がないこと」は「悪用がないこと」を意味しません。

Q. Zerologon（CVE-2020-1472）への対策を講じていれば、今回も安全ですか？ A. CVE-2026-41089とZerologonは別の脆弱性であり、Zerologon対応とは独立したパッチ適用が必要です。Zerologon対応でNetlogonのセキュアチャネル保護を強化していても、CVE-2026-41089のスタックバッファオーバーフローは異なる攻撃面です。いずれかの対策が他方の代替になることはありません。

Q. ドメインコントローラーが複数ある場合、どれから優先してパッチを当てますか？ A. Automox CTOの推奨どおり、全DCへの同一メンテナンスウィンドウでのパッチ適用が理想です。もし段階的適用が必要な場合は、インターネットからアクセス可能なセグメントに近いDC・RODCを最優先し、次に中核となるPDC（PDCエミュレーター）の役割を持つDCに適用してください。ただし段階的適用中の「半パッチフォレスト」状態は最小化することが重要です。

Q. Windows ServerではなくクライアントWindowsにも影響がありますか？ A. CVE-2026-41089はドメインコントローラーとして機能するWindowsサーバーを直接の攻撃対象とします。一般のWindowsクライアント（Windows 10/11）がドメインコントローラーとして機能することはないため、クライアントOSが直接攻撃の対象となるリスクは低いと考えられます。ただし、DCが侵害されることで接続している全クライアントへの影響が生じるため、DCのパッチ適用が間接的にクライアントを保護します。

Q. CCBがまだ攻撃の詳細を公開していない理由は何ですか？ A. CCBは「信頼できるパートナーからの情報」に基づいて警告を発しており、その情報源の保護や進行中の調査への影響を避けるため詳細を公開していないと考えられます。詳細が明らかでないことは警告の信頼性を否定するものではなく、公共の安全のために詳細確認前に警告を発することは国家サイバーセキュリティ機関の標準的な対応です。