CVE-2026-41089 检测工具

这是一个用于防御巡检的 CVE-2026-41089 检测脚本。该漏洞是 Microsoft 在 2026 年 5 月安全更新中披露的 Windows Netlogon 远程代码执行漏洞。

脚本不会发送漏洞利用包，也不会尝试触发 Netlogon 异常。它优先读取受影响组件 netlogon.dll 的文件版本，其次检查已安装 KB，最后才使用系统完整构建号作为兜底判断，从而降低单纯依赖 OS 版本号造成的误报。

使用方法

检测本机 Windows 主机：

python .\cve_2026_41089_check.py

通过 CIM/WMI 检测远程 Windows 主机：

python .\cve_2026_41089_check.py --target dc01.example.com --format json

使用离线资产信息检测：

python .\cve_2026_41089_check.py --input-json .\sample_facts.json --format csv

查看 MSRC 当前修复信息：

python .\cve_2026_41089_check.py --update-msrc

退出码：

• 0：未发现漏洞主机
• 1：运行或查询失败
• 2：至少发现一台疑似受影响主机

检测逻辑

证据优先级如下：

1. netlogon.dll 文件版本：直接检查漏洞相关组件版本，优先级最高。
2. 已安装 KB：匹配 Microsoft 公布的修复更新。
3. OS 完整构建号：仅在组件版本不可用时作为兜底判断。
4. 域控角色：该漏洞利用场景针对作为域控制器的 Windows Server。

结果状态：

• patched：组件版本达到修复版本，或已安装匹配 KB。
• vulnerable：域控上的 netlogon.dll 组件版本低于修复版本，或组件版本不可用但系统构建和 KB 证据显示仍低于修复水平。
• not_affected：不在受影响产品/组件范围内，或主机不是域控。
• unknown：信息不足，无法判断。

输出中的 evidence 字段会说明判定依据，例如：

• netlogon.dll_version
• installed_kb
• os_build_fallback
• domain_role

修复版本

数据来源：Microsoft MSRC 2026-May CVRF。

离线资产样例

{
  "target": "dc01",
  "caption": "Microsoft Windows Server 2019 Standard",
  "version": "10.0.17763",
  "build_number": "17763",
  "ubr": "8000",
  "product_type": 2,
  "domain_role": 5,
  "netlogon_file_version": "10.0.17763.8000",
  "installed_kbs": []
}

关于主动漏洞验证

本项目不提供利用式探测、崩溃验证或可用于复现 RCE 的请求构造。对生产域控来说，这类验证风险高，也不适合发布在公开仓库中。

如果需要进一步减少误报，推荐结合以下防御证据：

• 读取 C:\Windows\System32\netlogon.dll 文件版本
• 核对补丁管理系统中的 KB 安装记录
• 确认主机是否为域控制器
• 检查变更窗口和重启状态

参考

• Microsoft MSRC: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41089
• CVE Record: https://www.cve.org/CVERecord?id=CVE-2026-41089
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-41089

免责声明

本项目仅用于授权环境中的防御巡检。生产处置前，请结合 Microsoft 官方公告、补丁管理系统和变更记录复核结果。