Piezīme
- Sākotnējais publicēšanas datums: 2026. gada 13. janvāris
- KB ID: 5074952
Tēmas šajā rakstā
- Ievads
- Kopsavilkums
- Izmaiņu laika skala
- Rīkojieties!
- Notikumu reģistrēšana
- Rīcības soļu kopsavilkums (2026. gada janvāris–aprīlis)
- Izmaiņu žurnāls
Ievads
Windows izvietošanas pakalpojumi (WDS) atbalsta Windows operētājsistēmu izvietošanu tīklā. Bieži izmantots līdzeklis — brīvroku izvietošana — paļaujas uz atbilžu failu (tiek dēvēts arī par Unattend.xml failu), lai automatizētu instalēšanas ekrānus, tostarp akreditācijas datus.
Piezīme
- DROŠĪBAS RISKS. Kad unattend.xml fails tiek pārsūtīts pa neautentificētu (nedrošu) RPC kanālu, tas var atklāt sensitīvus datus un radīt potenciālu akreditācijas datu zādzības vai attālās koda izpildes risku. Uzbrucēji vienā tīklā var pārtvert šo failu, izraisot akreditācijas datu kompromitēšanu vai attālo koda izpildi.
- Lai uzlabotu drošību, Microsoft pārtrauc atbalstu brīvroku izvietošanai nedrošos kanālos. Šīs izmaiņas tiks ieviestas divos posmos.
Kopsavilkums
Lai mazinātu iespējamo ievainojamību un drošības risku, kā arī lai uzlabotu drošību, Microsoft pēc noklusējuma atceļ atbalstu izvietošanai brīvroku režīmā nedrošos kanālos.
Papildinformāciju par ievainojamību skatiet CVE-2026-0386.
Piezīme
SVARĪGI! Šī ievainojamība neietekmē Microsoft Configuration Manager. Šī problēma attiecas tikai uz vietējiem Windows izvietošanas pakalpojumu (Windows Deployment Services — WDS) scenārijiem, kuros ir norādīta atsauce uz Unattend.xml failu un tas tiek atklāts, izmantojot RemoteInstall koplietojumu. Configuration Manager nepaļaujas uz šo mehānismu; tas izmanto WDS tikai, lai nodrošinātu boot.wim un network bootstrap (NBP) failus, kas netiek ietekmēti.
Izmaiņu laika skala
Microsoft ieviesīs stiprināšanas izmaiņas divos posmos.
1. posms (2026. gada 13. janvāris): Izvietošana brīvroku režīmā joprojām tiek atbalstīta, un to var atspējot, lai uzlabotu drošību.
- Ieviesti notikumu žurnāla brīdinājumi.
- Pieejamās reģistra atslēgas opcijas, lai izvēlētos drošo vai nedrošo režīmu.
2. posms (2026. gada 14. aprīlis): Izvietošana brīvroku režīmā pēc noklusējuma ir atspējota, bet, ja nepieciešams, to var atkārtoti iespējot, lai apzinātos saistītos drošības riskus
- Noklusējuma darbība tiek mainīta uz drošu pēc noklusējuma.
- Izvietošana brīvroku režīmā vairs nedarbosies, ja vien reģistra iestatījumi to tieši neignorēs.
Rīkojieties!
Piezīme
SVARĪGI! Ja laikā no 2026. gada janvāra līdz aprīlim netiks veiktas nekādas darbības (reģistra atslēga nav pievienota), pēc 2026. gada aprīļa drošības atjauninājuma tiks bloķēta izvietošana brīvroku režīmā.
Šajā sadaļā:
1. posms (2026. gada 13. janvāris)
1. opcija. Iespējot drošu darbību (ieteicams)
Lai iespējotu ievainojamības mazināšanu, kā aprakstīts CVE-2026-0386, un nodrošinātu, ka jūsu ierīce ir droša, lietojiet Windows atjauninājumu, kas izlaists 2026. gada 13. janvārī vai vēlāk. Pēc tam lietojiet tālāk norādīto reģistra iestatījumu, lai ieviestu drošu darbību.
| Reģistra atrašanās vieta | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WdsServer\ Nodrošinātāji\WdsImgSrv\Unattend |
|---|---|
| DWORD nosaukums | AllowHandsFreeFunctionality |
| Vērtības dati |
00000000
|
| Piezīmes |
|
2. opcija. Turpināt izvietošanu brīvroku režīmā (nedroša) (nav ieteicams)
Ja vēlaties turpināt izmantot brīvroku izvietošanu, iestatiet reģistra atslēgas vērtību uz 1.
| Reģistra atrašanās vieta | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WdsServer\ Nodrošinātāji\WdsImgSrv\Unattend |
|---|---|
| DWORD nosaukums | AllowHandsFreeFunctionality |
| Vērtības dati |
00000001
|
| Piezīme | Ja janvārī–aprīlī pēc aprīļa drošības atjauninājuma nekādas darbības netiks veiktas (reģistra atslēga nav pievienota), izvietošana brīvroku režīmā tiks bloķēta. |
Reģistra atslēgu opcijas un darbība
Tālāk esošajā tabulā ir paskaidrots, kā iestatīt AllowHandsFreeFunctionality vērtību reģistrā.
| Reģistra vērtība | Režīms | Uzvedība | Ietekme uz nākotni |
|---|---|---|---|
| Nav (noklusējums) | Nedrošs | Brīvroku režīms darbojas, taču tas ir nedroši. Izsniegtie notikumu žurnāla ziņojumi | Tiks pārtraukts brīvroku režīms nākamajā laidienā |
| dword:00000000 | Drošs | Bloķē neautentificētu piekļuvi, brīvroku izvietošana tiks atspējota | Bez izmaiņām -Neautentificēta piekļuve joprojām tiks bloķēta, un brīvroku izvietošana paliks atspējota |
| dword:00000001 | Nedrošs | Brīvroku režīms saglabāts, bet nedrošs | Bez izmaiņām — izvietošana brīvroku režīmā paliks iespējota, taču būs nedroša. |
Piezīme
PIEZĪME Turpmākajos Windows atjauninājumos noklusējuma vērtība AllowHandsFreeFunctionality ieviesīs drošo režīmu, ja vien tā netiks ignorēta.
2. posms (2026. gada 14. aprīlis)
Izvietošana brīvroku režīmā ir pilnībā atspējota uz konfigurāciju, kas ir droša pēc noklusējuma. Administratori var ignorēt konfigurāciju, izprotot ar to saistītos drošības riskus.
Piezīme
ATJAUNINĀT Iepriekš minētās izmaiņas ir ieviestas, izmantojot Windows Atjauninājumi, kas izlaisti 2026. gada 14. aprīlī un pēc tam. Pēc šī atjauninājuma brīvroku izvietošanas scenāriji, izmantojot WDS, vairs netiek atbalstīti. Lai gan ir dokumentēta alternatīva pieeja brīvroku izvietošanai, tā ietver zināmus drošības riskus un tāpēc nav ieteicama.
Šajā posmā noklusējuma darbība tiek mainīta uz drošu pēc noklusējuma.
Ja vēlaties turpināt izmantot brīvroku izvietošanu, skatiet 1. fāzes 2. opciju(nav ieteicams).
Notikumu reģistrēšana
Tiek pievienoti jauni notikumi, lai administratoriem palīdzētu uzraudzīt izvietošanas darbību.
Microsoft-Windows-Deployment-Services-Diagnostics/Debug žurnālā tiks reģistrēti šādi notikumi:
Drošais režīms
Piezīme
Brīdinājums. Neuzraudzītā faila pieprasījums tika veikts, izmantojot nedrošu savienojumu. Windows izvietošanas pakalpojumi ir bloķējuši pieprasījumu, lai nodrošinātu sistēmas drošību. Papildinformāciju skatiet rakstā: https://go.microsoft.com/fwlink/?linkid=2344403
Piezīme Šis brīdinājums tiek aktivizēts, ja tiek pieprasīta unattend.xml bez droša kanāla.
Nedrošais režīms
Piezīme
Kļūda: Šī sistēma izmanto nedrošus iestatījumus Windows izvietošanas pakalpojumiem. Tas var pakļaut pārtveršanai sensitīvus konfigurācijas failus. Lietojiet Microsoft ieteiktos drošības iestatījumus, lai aizsargātu izvietojumu. Papildinformācija vietnē: https://go.microsoft.com/fwlink/?linkid=2344403
Šī kļūda rodas, ja unattend.xml vaicājums tiek veikts nedroši vai kad tiek startēts WDS.
Rīcības soļu kopsavilkums (2026. gada janvāris–aprīlis)
- Pārskatiet savu WDS konfigurāciju un identificējiet unattend.xml lietojumu.
- Lietojiet ieteikto reģistra atslēgu (AllowHandsFreeDeployment=0), lai ieviestu drošu izvietošanu.
- Pārraugiet Notikumu skatītājs, vai nav brīdinājumu vai kļūdu, kas saistītas ar unattend.xml piekļuvi.
- Sagatavojieties laidieniem pēc 2026. gada aprīļa drošības atjauninājuma, novēršot atkarību no brīvroku izvietošanas.
- Pēc Windows Atjauninājumi instalēšanas, kas izlaisti 2026. gada 14. aprīlī vai vēlāk, brīvroku izvietošanas scenāriji, izmantojot WDS, pēc noklusējuma ir atspējoti un vairs netiek atbalstīti.
- Administratori var ignorēt konfigurāciju "drošs pēc noklusējuma", lai izvietotu brīvroku režīmā, lai turpinātu darbu, taču tas nav ieteicams. Iesakām atspējot šo līdzekli, lai uzturētu drošu konfigurāciju un migrētu uz alternatīvām metodēm.
Izmaiņu žurnāls
| Mainīt datumu | Izmaiņu apraksts |
|---|---|
| 2026. gada 14. aprīlis |
|