9.8Critical

CVE-2026-119958 Microsoft Windows LDAP 越界寫入導致遠端程式碼執行

揭露日期 2026-11-10CVSS 3.1：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

對象網管資安 IT

CWE-787 越界寫入

未列入 CISA KEV

PoC 狀態未確認

三句重點

成因: Windows LDAP 處理程式碼存在越界寫入（CWE-787）。
影響: 可在 LDAP 服務環境執行任意程式碼，影響機密性、完整性與可用性。
條件: 攻擊者能從網路連到 LDAP 服務即可，不需憑證與使用者互動。

版本比對

套件	❌ 受影響版本	✅ 安全版本
Microsoft Windows	`1607/Server 2016 < 10.0.14393.9688；21H2 < 10.0.19044.7846；11 24H2 < 10.0.26100.9974；Server 2025 < 10.0.26100.33822；其他分支請查 MSRC`	尚無修補版本

攻擊思路

網路可達：攻擊者需能連到目標 Windows 的 LDAP 服務（Domain Controller 預設 TCP 389 與 LDAPS 636），無需憑證與使用者互動。來源
送出惡意請求：對目標送出特製的一組 LDAP 呼叫，觸發 LDAP 處理程式碼的越界寫入；具體訊息類型與欄位條件未公開。來源
程式碼執行：越界寫入成功後可在 LDAP 服務的安全性環境中執行任意程式碼，Domain Controller 影響最大。來源

偵測提示

網路邊界與防火牆日誌：檢查來自不受信任網段或網際網路對 TCP 389、636 的連線，以及異常大量或來源罕見的 LDAP 連線。
Domain Controller 事件日誌：留意 lsass.exe 非預期當機或重啟，以及目錄服務相關錯誤事件。
EDR／端點行為：留意 lsass.exe 衍生非預期子程序、載入異常模組或出現異常外連。
網路流量（IDS/NDR）：協定層級監控未經驗證即送出大量或畸形 LDAP 請求的來源；因細節未公開，僅能做粗略偵測。
修補狀態盤點：確認各主機 build 是否達到修補版本，優先盤點 Domain Controller。

暫時緩解

安裝 Microsoft 2026 年 11 月累積更新，使系統 build 達到修補版本，各平台 KB 以 MSRC 為準。Microsoft 未公布專屬 workaround；一般建議以防火牆限制僅必要用戶端可連線 Domain Controller 的 LDAP 服務，且不要將 LDAP 暴露於網際網路或不受信任網段。

通報團隊

複製成可直接貼到 Slack 或 Email 的通報文字。

預覽通報內容

🚨【資安漏洞通報】CVE-2026-119958
等級：Critical (9.8)
受影響套件：Microsoft Windows 1607/Server 2016 < 10.0.14393.9688；21H2 < 10.0.19044.7846；11 24H2 < 10.0.26100.9974；Server 2025 < 10.0.26100.33822；其他分支請查 MSRC
漏洞簡述：Windows LDAP 處理程式碼存在越界寫入（CWE-787）。；可在 LDAP 服務環境執行任意程式碼，影響機密性、完整性與可用性。；攻擊者能從網路連到 LDAP 服務即可，不需憑證與使用者互動。
建議措施：請參考廠商公告評估修補
詳細連結：https://cve.eacc.online/cve/CVE-2026-119958