Poznámka
- Pôvodný dátum publikovania: Januára 13, 2026
- ID KB: 5074952
Obsah tohto článku
- Úvod
- Súhrn
- Časová os zmien
- Začnite konať!
- Zapisovanie udalostí do denníka
- Zhrnutie akčných krokov (január – apríl 2026)
- Zoznam zmien
Úvod
Služba Windows Deployment Services (WDS) podporuje sieťové nasadenie operačných systémov Windows. Bežne používaná funkcia – hands-free nasadenie – využíva súbor odpovedí (známy aj ako súbor Unattend.xml) na automatizáciu obrazoviek inštalácie vrátane poverení.
Poznámka
- RIZIKO ZABEZPEČENIA: Keď sa súbor unattend.xml prenáša cez neoverený (nezabezpečený) kanál RPC, môže to odhaliť citlivé údaje a vytvoriť potenciálne riziko krádeže poverení alebo vzdialeného spustenia kódu. Útočníci v rovnakej sieti môžu tento súbor zachytiť, čo vedie k zneužitiu poverení alebo spusteniu vzdialeného kódu.
- S cieľom posilniť zabezpečenie Microsoft odstraňuje podporu hands-free nasadenia cez nezabezpečené kanály. Táto zmena sa zavedie v dvoch fázach.
Súhrn
S cieľom zmierniť potenciálne riziko zraniteľnosti a zabezpečenia a posilniť zabezpečenie Microsoft predvolene odstraňuje podporu hands-free nasadenia cez nezabezpečené kanály.
Ďalšie informácie o zraniteľnosti nájdete v článku CVE-2026-0386.
Poznámka
DÔLEŽITÉ: Toto riziko nemá vplyv na Microsoft Configuration Manager. Tento problém sa vzťahuje len na natívne scenáre služieb Windows Deployment Services (WDS), v ktorých sa odkazuje na Unattend.xml súbor a je vystavený prostredníctvom zdieľaného umiestnenia RemoteInstall . Configuration Manager sa nespolieha na tento mechanizmus – používa WDS výlučne na poskytovanie súborov boot.wim a Network Bootstrap (NBP), ktoré nie sú ovplyvnené.
Časová os zmien
Spoločnosť Microsoft zavedie zmeny sprísnenia v dvoch fázach.
Fáza 1 (13. januára 2026): Hands-free nasadenie sa naďalej podporuje a dá sa explicitne vypnúť na zvýšenie zabezpečenia.
- Predstavili sa upozornenia denníka udalostí.
- Dostupné možnosti kľúča databázy Registry na výber zabezpečeného alebo nezabezpečeného režimu.
Fáza 2 (14. apríla 2026): Hands-free nasadenie je predvolene vypnuté, ale v prípade potreby ho možno znova zapnúť s ohľadom na súvisiace bezpečnostné riziká
- Predvolené správanie sa zmení na predvolene zabezpečené.
- Hands-free nasadenie už nebude fungovať, pokiaľ nebude explicitne prepísané nastaveniami databázy Registry.
Začnite konať!
Poznámka
DÔLEŽITÉ: Ak sa v období od januára do apríla 2026 neprijme žiadna akcia (nepridá sa žiadny kľúč databázy Registry), po aktualizácii zabezpečenia z apríla 2026 sa hands-free nasadenie zablokuje.
Obsah tejto časti:
Fáza 1 (13. januára 2026)
1. možnosť: Zapnite bezpečné správanie (odporúča sa)
Ak chcete povoliť zmiernenie zraniteľnosti, ako je opísané v CVE-2026-0386, a zaistiť bezpečnosť svojho zariadenia, použite aktualizáciu Windowsu vydanú 13. januára 2026 alebo neskôr. Potom na vynútenie bezpečného správania použite nasledujúce nastavenie databázy Registry.
| Umiestnenie v databáze Registry | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WdsServer\ Providers\WdsImgSrv\Unattend |
|---|---|
| Názov DWORD | AllowHandsFreeFunctionality |
|
|
00000000
|
| Poznámky |
|
späť do časti Vykonajte akciu!
2. možnosť: Pokračovanie v hands-free nasadení (nezabezpečené) (neodporúča sa)
Ak chcete aj naďalej používať hands-free nasadenie, nastavte hodnotu kľúča databázy Registry na 1:
| Umiestnenie v databáze Registry | HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WdsServer\ Providers\WdsImgSrv\Unattend |
|---|---|
| Názov DWORD | AllowHandsFreeFunctionality |
|
|
00000001
|
| Poznámka: | Ak sa v priebehu januára až apríla neprijme žiadna akcia (nepridá sa žiadny kľúč databázy Registry), po aprílovej aktualizácii zabezpečenia sa hands-free nasadenie zablokuje. |
späť do časti Vykonajte akciu!
Možnosti a správanie kľúča databázy Registry
Správanie nastavenia hodnoty AllowHandsFreeFunctionality v databáze Registry je vysvetlené v nasledujúcej tabuľke.
| Hodnota databázy Registry | Modus | Správanie | Vplyv do budúcnosti |
|---|---|---|---|
| Neprítomný (predvolené) | Nezabezpečené | Bez použitia rúk funguje, ale je nebezpečné. Vydané správy denníka udalostí | V budúcom vydaní nebude používať hands-free |
| dword:00000000 | Zabezpečené | Blokuje neoverený prístup, hands-free nasadenie bude zakázané | Bez zmeny – neoverený prístup sa bude naďalej blokovať a hands-free nasadenie zostane zakázané |
| dword:00000001 | Nezabezpečené | Bez použitia rúk zachované, ale nezabezpečené | Bez zmeny – hands-free nasadenie zostane povolené, ale nezabezpečené. |
Poznámka
POZNÁMKA V budúcich aktualizáciách Windowsu bude predvolená hodnota AllowHandsFreeFunctionality vynucovať zabezpečený režim, pokiaľ sa neprepíše.
späť do časti Vykonajte akciu!
Fáza 2 (14. apríla 2026)
Hands-free nasadenie je predvolene úplne vypnuté a v predvolenom nastavení je zabezpečené. Správcovia môžu konfiguráciu prepísať a pochopiť súvisiace riziká zabezpečenia.
Poznámka
AKTUALIZÁCIA Vyššie uvedené zmeny boli zavedené prostredníctvom Aktualizácie Windowsu vydaných 14. apríla 2026 a neskôr. Po tejto aktualizácii sa scenáre hands-free nasadenia pomocou WDS už nepodporujú. Alternatívny prístup k hands-free nasadeniu je síce zdokumentovaný, zahŕňa však známe bezpečnostné riziká, a preto sa neodporúča.
Počas tejto fázy sa predvolené správanie zmení na predvolené zabezpečenie.
Ak potrebujete naďalej používať hands-free nasadenie, pozrite si fázu 1, možnosť 2(neodporúča sa).
späť do časti Vykonajte akciu!
Zapisovanie udalostí do denníka
Pridávajú sa nové udalosti, ktoré pomôžu správcom monitorovať správanie nasadenia.
Do denníka Microsoft-Windows-Deployment-Services-Diagnostics/Debug sa zapíšu nasledujúce udalosti:
Zabezpečený režim
Poznámka
Upozornenie: Žiadosť o bezobslužný súbor bola odoslaná cez zabezpečené pripojenie. Služby nasadenia systému Windows zablokovali požiadavku na zachovanie zabezpečenia systému. Ďalšie informácie nájdete v téme: https://go.microsoft.com/fwlink/?linkid=2344403
Poznámka Toto upozornenie sa spustí, keď sa unattend.xml požiada bez zabezpečeného kanála.
Nezabezpečený režim
Poznámka
Chyba: Tento systém používa nezabezpečené nastavenia pre služby Windows Deployment Services. To môže vystaviť citlivé konfiguračné súbory zachyteniu. Použite nastavenia zabezpečenia odporúčané spoločnosťou Microsoft na ochranu nasadenia. Ďalšie informácie nájdete na: https://go.microsoft.com/fwlink/?linkid=2344403
Táto chyba sa spúšťa, keď sa dotaz na unattend.xml kladie nebezpečne alebo pri spustení WDS.
Zhrnutie akčných krokov (január – apríl 2026)
- Skontrolujte konfiguráciu WDS a identifikujte unattend.xml používanie.
- Na zabezpečenie zabezpečeného nasadenia použite odporúčaný kľúč databázy Registry (AllowHandsFreeDeployment=0).
- Sledujte Zobrazovač udalostí, či neobsahuje upozornenia alebo chyby súvisiace s prístupom k unattend.xml.
- Pripravte sa na vydania po aktualizácii zabezpečenia z apríla 2026 tak, že odstránite závislosť od hands-free nasadenia.
- Po inštalácii Aktualizácií Windowsu vydaných 14. apríla 2026 alebo neskôr sú scenáre hands-free nasadenia pomocou WDS predvolene zakázané a už nie sú podporované.
- Správcovia môžu predvolene zabezpečenú konfiguráciu tak, aby nasadenia bez použitia rúk naďalej fungovali, táto možnosť sa však neodporúča. Odporúčame ponechať túto funkciu vypnutú, aby sa zachovala bezpečná konfigurácia, a prejsť na alternatívne metódy.
Zoznam zmien
| Zmeniť dátum | Popis zmeny |
|---|---|
| 14. apríla 2026 |
|