CVE-2026-41089｜Windows Netlogon远程代码执行漏洞（POC）

0x00 前言

Netlogon是Windows操作系统中面向Active Directory域环境的核心系统服务，仅在加入域的成员计算机或域控制器上自动启动。

它主要负责维护计算机与域控制器之间的安全通道，通过“传递式身份验证”将用户凭据传递给域控制器并返回域安全标识符和权限；同时为域控制器在DNS中注册_msdcs、_sites等文件夹下的SRV资源记录，供其他计算机查询活动目录信息；还管理主机服务主体名称、计算机账户密码，支持NTLM登录请求与Kerberos特权属性证书验证，以及域控制器发现等功能。

此外，Netlogon依赖Netlogon Remote Protocol (NRPC)通信，其关联的NETLOGON共享文件夹可存储登录脚本、协助身份验证和维护信任关系信息，对域环境的身份安全与正常运行至关重要。

0x01 漏洞描述

漏洞存在于netlogon.dll中的NetpLogonPutUnicodeString函数，该函数负责将Unicode字符串写入Netlogon响应数据包。函数在处理超长字符串时，未对输入长度进行适当校验，将字节长度与WCHAR计数混淆，导致固定大小的栈缓冲区溢出。攻击者通过发送特制的CLDAP Locator Ping请求，在用户名参数中包含超长字符串，即可触发漏洞。

与CVE-2020-1472（Zerologon）相比，CVE-2026-41089同样无需认证即可利用，但Zerologon是通过修改加密参数来重置密码，而CVE-2026-41089是直接的栈缓冲区溢出，可实现更灵活的代码执行。

0x02 CVE编号

CVE-2026-41089

0x03 影响版本

Windows Server 2012（所有版本）
Windows Server 2012 R2（所有版本）
Windows Server 2016（版本低于 10.0.14393.9140）
Windows Server 2019（版本低于 10.0.17763.8755）
Windows Server 2022（版本低于 10.0.20348.5074）
Windows Server 2022 23H2（版本低于 10.0.25398.2330）
Windows Server 2025（版本低于 10.0.26100.32772）

0x04 漏洞详情

POC：

https://github.com/0xABCD01/CVE-2026-41089

0x05 参考链接

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41089