CVE-2026-41089 検出ツール

これは防御巡回点検用の CVE-2026-41089 検出スクリプトです。この脆弱性は、Microsoft が 2026 年 5 月のセキュリティ更新プログラムで公開した Windows Netlogon のリモートコード実行脆弱性です。

スクリプトはエクスプロイトパケットを送信せず、Netlogon の例外をトリガーしようとしません。影響を受けるコンポーネント netlogon.dll のファイルバージョンを優先的に読み取り、次にインストール済み KB を確認し、最後にシステムの完全ビルド番号をフォールバックとして使用することで、OS バージョン番号のみに依存した誤検出を低減します。

使用方法

ローカル Windows ホストを検出：

python .\cve_2026_41089_check.py

CIM/WMI を介してリモート Windows ホストを検出：

python .\cve_2026_41089_check.py --target dc01.example.com --format json

オフライン資産情報を使用して検出：

python .\cve_2026_41089_check.py --input-json .\sample_facts.json --format csv

MSRC の現在の修正情報を表示：

python .\cve_2026_41089_check.py --update-msrc

終了コード：

• 0：脆弱性ホストが見つからない
• 1：実行またはクエリに失敗
• 2：少なくとも1台の影響を受ける可能性があるホストを発見

検出ロジック

証拠の優先順位は次のとおりです：

1. netlogon.dll ファイルバージョン：脆弱性関連コンポーネントのバージョンを直接確認。優先度最高。
2. インストール済み KB：Microsoft が公開した修正アップデートと照合。
3. OS 完全ビルド番号：コンポーネントバージョンが利用不可の場合のみフォールバックとして使用。
4. ドメインコントローラーの役割：この脆弱性の悪用シナリオはドメインコントローラーとして機能する Windows Server を対象としています。

結果状態：

• patched：コンポーネントバージョンが修正バージョン以上、または一致する KB がインストール済み。
• vulnerable：ドメインコントローラー上の netlogon.dll コンポーネントバージョンが修正バージョン未満、またはコンポーネントバージョンが利用不可でシステムビルドおよび KB 証拠が修正レベル未満を示している。
• not_affected：影響を受ける製品/コンポーネント範囲外、またはホストがドメインコントローラーではない。
• unknown：判断に十分な情報がない。

出力内の evidence フィールドは判断根拠を示します。例：

• netlogon.dll_version
• installed_kb
• os_build_fallback
• domain_role

修正バージョン

データソース：Microsoft MSRC 2026-May CVRF。

オフライン資産サンプル

{
  "target": "dc01",
  "caption": "Microsoft Windows Server 2019 Standard",
  "version": "10.0.17763",
  "build_number": "17763",
  "ubr": "8000",
  "product_type": 2,
  "domain_role": 5,
  "netlogon_file_version": "10.0.17763.8000",
  "installed_kbs": []
}

能動的な脆弱性検証について

本プロジェクトは、エクスプロイト型の探査、クラッシュ検証、または RCE 再現に使用可能なリクエスト構築を提供しません。本番ドメインコントローラーにとって、そのような検証はリスクが高く、公開リポジトリに公開するのにも適していません。

誤検出をさらに減らす必要がある場合は、以下の防御証拠を組み合わせることを推奨します：

• C:\Windows\System32\netlogon.dll ファイルバージョンの読み取り
• パッチ管理システムの KB インストール記録との照合
• ホストがドメインコントローラーであることの確認
• 変更ウィンドウと再起動状態のチェック

参考

• Microsoft MSRC: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41089
• CVE Record: https://www.cve.org/CVERecord?id=CVE-2026-41089
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-41089

免責事項

本プロジェクトは、認可された環境における防御巡回点検にのみ使用されます。本番環境での対応前に、Microsoft 公式発表、パッチ管理システム、変更履歴と合わせて結果を確認してください。