Active Directory od lat stanowi fundament zarządzania tożsamością i dostępem w środowiskach korporacyjnych. To właśnie za jego pośrednictwem organizacje kontrolują konta użytkowników, uprawnienia, dostęp do serwerów i zasobów firmowych. W związku z tym każda podatność dotycząca kontrolerów domeny może mieć wyjątkowo poważne konsekwencje. W październikowym zestawie aktualizacji bezpieczeństwa Microsoft załatał krytyczną lukę CVE-2026-70229 w usłudze Active Directory Domain Services (AD DS). Problem umożliwiał zdalne wykonanie kodu na podatnym systemie, a producent ocenił, że prawdopodobieństwo wykorzystania podatności przez cyberprzestępców jest podwyższone. W przypadku infrastruktury domenowej nawet pojedynczy błąd bezpieczeństwa może otworzyć drogę do znacznie poważniejszego incydentu.

Autor: 6 min czytania

Krytyczna luka w Active Directory Domain Services

Podatność CVE-2026-70229 została uwzględniona w aktualizacjach bezpieczeństwa Microsoft z 13 października 2026 roku, w ramach comiesięcznego Patch Tuesday. Dotyczy komponentu Active Directory Domain Services, odpowiedzialnego za obsługę usług katalogowych w środowiskach Windows Server.

Luka otrzymała ocenę CVSS 8.1 i została sklasyfikowana jako krytyczna. Jej wykorzystanie polega na przesłaniu odpowiednio spreparowanego pakietu do podatnej usługi AD DS. W przypadku powodzenia atakujący może uzyskać możliwość wykonania własnego kodu na zaatakowanym systemie.

Szczególnie istotna jest ocena Microsoft Exploitability Index. Producent określił prawdopodobieństwo wykorzystania podatności jako „Exploitation More Likely”, co oznacza, że podczas planowania działań naprawczych scenariusz jej praktycznego wykorzystania należy traktować poważnie.

Nie oznacza to jednak, że Microsoft potwierdził już aktywne ataki z wykorzystaniem tej konkretnej luki. Jest to ocena potencjału eksploatacji, a nie informacja o wykrytych infekcjach.

Warto podkreślić, że samo wykorzystanie CVE-2026-70229 nie oznacza automatycznego uzyskania uprawnień administratora całej domeny. Wykonanie złośliwego kodu na kontrolerze domeny stwarza jednak bardzo poważne ryzyko dalszej kompromitacji środowiska.

Z perspektywy cyberbezpieczeństwa jest to szczególnie niebezpieczny scenariusz, ponieważ infrastruktura tożsamości stanowi podstawę zaufania pomiędzy użytkownikami, urządzeniami i aplikacjami. Naruszenie jej bezpieczeństwa może wpłynąć na funkcjonowanie wielu niezależnych systemów w organizacji.

Atak na AD może być początkiem większego incydentu

Współczesne ataki na przedsiębiorstwa rzadko kończą się na pojedynczym przejętym serwerze. Cyberprzestępcy często wykorzystują pierwsze naruszenie bezpieczeństwa jako punkt wyjścia do dalszego przemieszczania się w sieci, czyli tzw. lateral movement.

W środowisku Active Directory szczególnie cenne są konta administracyjne, konta usługowe oraz mechanizmy delegowania uprawnień. Ich niewłaściwa konfiguracja może dodatkowo ułatwić eskalację uprawnień i rozszerzenie zakresu kompromitacji.

Jeżeli atakujący uzyska dostęp do infrastruktury domenowej, może próbować utrwalić swoją obecność, przejmować kolejne konta i uzyskiwać dostęp do zasobów zawierających dane biznesowe. W skrajnych przypadkach konsekwencją może być utrata kontroli nad całym środowiskiem domenowym.

W związku z powyższym podatności w AD DS powinny być traktowane jako zagrożenie dla całej organizacji, a nie wyłącznie problem dotyczący jednego serwera Windows.

Microsoft zaleca aktualizację. Co powinni zrobić administratorzy?

Podstawowym działaniem jest instalacja odpowiednich aktualizacji bezpieczeństwa Microsoft z października 2026 roku na wszystkich podatnych kontrolerach domeny.

Administratorzy powinni w szczególności:

  • Zweryfikować wszystkie serwery Windows pełniące funkcję kontrolerów domeny.
  • Sprawdzić, czy zostały zainstalowane aktualizacje bezpieczeństwa obejmujące CVE-2026-70229.
  • Zweryfikować poprawność instalacji aktualizacji oraz wymagane ponowne uruchomienie serwerów.
  • Ograniczyć komunikację sieciową z kontrolerami domeny wyłącznie do niezbędnych systemów i usług.
  • Przeanalizować uprawnienia kont administracyjnych i usługowych.
  • Monitorować nietypową aktywność na kontrolerach domeny, w szczególności nieoczekiwane zmiany konfiguracji i zachowania procesów.
  • Upewnić się, że organizacja posiada aktualne i przetestowane kopie zapasowe Active Directory oraz procedury odtwarzania usług katalogowych.

Warto również pamiętać, że samo wdrożenie poprawki nie zastępuje monitorowania środowiska. Jeżeli istnieje podejrzenie wcześniejszego naruszenia bezpieczeństwa, konieczna jest dodatkowa analiza logów i aktywności na kontrolerach domeny.

Active Directory wymaga ciągłej kontroli bezpieczeństwa

Podatność CVE-2026-70229 przypomina, jak istotne jest regularne aktualizowanie infrastruktury tożsamości. Active Directory jest często jednym z najbardziej krytycznych systemów w organizacji, a jednocześnie jego konfiguracja przez lata może ulegać znacznemu skomplikowaniu. Samo instalowanie aktualizacji nie wystarczy. Organizacje powinny regularnie przeprowadzać audyty bezpieczeństwa AD, identyfikować nadmierne uprawnienia, kontrolować konta uprzywilejowane, analizować konfigurację Group Policy oraz wykrywać niebezpieczne zależności pomiędzy użytkownikami, grupami i systemami. Warto również wdrożyć mechanizmy monitorowania zmian w katalogu oraz wykrywania nietypowych zachowań związanych z uwierzytelnianiem i wykorzystaniem uprawnień administracyjnych. W przypadku infrastruktury tożsamości zasada jest prosta – przejęcie pojedynczego kontrolera domeny może stać się początkiem problemu obejmującego całą organizację. Dlatego bezpieczeństwo Active Directory powinno być jednym z priorytetów każdej strategii cyberbezpieczeństwa.