Navodila za Hands-Free za uvedbo sistema Windows v zvezi s cve-2026-0386

V tem članku

Uvod
Povzetek
Časovnica sprememb
Ukrepajte
Zapisovanje dogodkov v dnevnik
Povzetek korakov za ukrepanje (januar – april 2026)

Uvod

Storitve uvajanja sistema Windows (WDS) podpirajo omrežno uvajanje operacijskih sistemov Windows. Pogosto uporabljena funkcija – prostoročno uvajanje – za avtomatizacijo namestitvenih zaslonov, vključno s poverilnicami, je odvisna od datoteke Unattend.xml (znane tudi kot datoteka z odgovori).

Povzetek

The unattend.xml file poses a vulnerability when it is transmitted over an unauthenticated RPC channel. Ta ranljivost lahko razkrije občutljive podatke in ustvari tveganje za krajo poverilnic ali oddaljeno izvajanje kode.

Napadalec v istem omrežju bi lahko prestregel datoteko, morda ogrozil poverilnice ali izvršil zlonamerno kodo.

Za zmanjšanje te ranljivosti in utrjevanje varnosti Bo Microsoft privzeto odstranil podporo za prostoročno uvajanje prek negotovih kanalov.

Če želite več informacij o vulnerbility, glejte CVE-2026-0386.

Časovnica sprememb

Microsoft bo spremembe za utrjevanje izvail v dveh fazah.

1. faza (13. januar 2026): Prostoročno uvajanje je še naprej podprto in ga je mogoče izrecno onemogočiti za izboljšanje varnosti.

Predstavljena so opozorila dnevnika dogodkov.
Možnosti registrskega ključa so na voljo za izbiro varnega ali nezaščitenega načina.

2. faza (april 2026): Prostoročno uvajanje je privzeto onemogočeno, vendar ga je mogoče po potrebi znova omogočiti z razumevanjem povezanih varnostnih tveganj

Privzeto vedenje se spremeni v privzeto varno.
Prostoročno uvajanje ne bo več delovalo, razen če ga izrecno preglasite z nastavitvami registra.

Ukrepajte

POMEMBNO: Če med januarjem in aprilom 2026 ni bilo izvedeno nobeno dejanje (registrski ključ ni bil dodan), bo po varnostni posodobitvi iz aprila 2026 uvajanje prostoročno blokirano.

V tem razdelku:

1. faza: 13. januar 2026
2. faza: april 2026

1. faza (13. januar 2026): Prostoročno uvajanje se ukinja, skrbniki pa jo morajo proaktivno onemogočiti, da izboljšajo varnost.

Če želite omogočiti ublažitev posledic in zagotoviti, da je vaša naprava varna, uporabite posodobitev sistema Windows, izdano 13. januarja 2026 ali po tem.

Če konfiguracija WDS unattend.xml za avtomatizirana uvajanja, uporabite to nastavitev registra, da vsilite varno delovanje.

Mesto registra	HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WdsServer\ Ponudniki\WdsImgSrv\Unattend
Ime DWORD	AllowHandsFreeFunctionality
Podatki o vrednosti	00000000 Blokira preverjen dostop do unattend.xml. Onemogoči prostoročno uvajanje.
Opombe	Upoštevajte, da boste s tem onemogočili prostoročno uvajanje s storitvijo WDS. Preklopiti morate na nadomestne možnosti, navedene v https://aka.ms/wdssupport. Lahko pa raziščete rešitve v oblaku, kot https://learn.microsoft.com/mem/autopilot. V prihodnjih izdajah po aprilu 2026 bo privzeta nastavitev uveljavila varni način, razen če ga preglasijo.

2. faza (april 2026): Prostoročno uvajanje je v celoti onemogočeno v varni privzeti konfiguraciji. Skrbniki lahko preglasijo konfiguracijo z razumevanjem povezanih varnostnih tveganj.

V tej fazi se privzeto spremeni privzeto vedenje.

Če morate še naprej uporabljati prostoročno uvajanje, nastavite vrednost registrskega ključa na 1.

Mesto registra	HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WdsServer\ Ponudniki\WdsImgSrv\Unattend
Ime DWORD	AllowHandsFreeFunctionality
Podatki o vrednosti	00000001 Ne blokira preverjenega dostopa do unattend.xml. Prostoročno uvajanje bo še naprej delovalo. Sporočila o napakah bodo zabeležena v dnevnik dogodkov.
Pripombe	To ni varna konfiguracija. Če želite izboljšati varnost, morate načrtovati selitev na nadomestne možnosti in onemogočiti prostoročno uvajanje (AllowHandsFreeFunctionality = 0 ).

Zapisovanje dogodkov v dnevnik

Dodani so novi dogodki, ki skrbnikom pomagajo nadzorovati delovanje uvajanja.

Naslednji dogodki bodo zabeleženi v dnevnik Microsoft-Windows-Deployment-Services-Diagnostics/Debug :

Varni način

Opozorilo: Nespremljana zahteva za datoteko je bila poslana prek negotove povezave. Storitve uvajanja sistema Windows so blokirali zahtevo za zaščito sistema. Če želite več informacij, glejte: https://go.microsoft.com/fwlink/?linkid=2344403

Opomba To opozorilo se sproži, ko unattend.xml zahtevo za uporabo brez varnega kanala.

Insecure mode

Napaka: Ta sistem uporablja negotove nastavitve za storitve uvajanja sistema Windows. S tem boste morda razkrili občutljive konfiguracijske datoteke prestrezanju. Uporabite Microsoftove priporočene varnostne nastavitve za zaščito vaše uvedbe. Več informacij najdete v tem članku: https://go.microsoft.com/fwlink/?linkid=2344403

Ta napaka se sproži, ko unattend.xml poizvedba negotova ali ko se zažene WDS.

Povzetek korakov za ukrepanje (januar – april 2026)

Preglejte konfiguracijo WDS in prepoznajte unattend.xml uporabo.
Uporabite priporočeni registrski ključ (AllowHandsFreeDeployment=0), da vsilite varno uvajanje.
Spremljajte Pregledovalnik dogodkov opozorila ali napake, povezane z unattend.xml dostopom.
Pripravite se na izdaje po varnostni posodobitvi iz aprila 2026 tako, da odstranitev uporabe prostoročno.
Skrbniki lahko preglasijo konfiguracijo, ki je privzeto varna, če želite, da uvedbe prostoročno telefoniranje delujejo, vendar to ni priporočljivo. Priporočamo, da funkcijo onemogočite, da ohranite varno konfiguracijo in jo selite na druge načine.