技术背景：未授权 RPC 带来的零点击风险
近期，Microsoft 披露了一个编号为CVE-2026-0386的关键远程代码执行（RCE）漏洞。该漏洞的根源在于 Windows 部署服务（Windows Deployment Services, WDS）在处理自动化安装配置文件（Unattend.xml）时的不当访问控制（CWE-284）。
在传统的 PXE 网络启动流程中，WDS 服务器通过未经验证的 RPC 通道传输敏感的配置信息。攻击者可以利用邻近网络（Adjacent Network）发起中间人攻击或流量拦截，从而：
-
获取敏感凭据：拦截
Unattend.xml中明文或简单加密的本地管理员密码及域加入凭据。 -
执行任意代码：通过注入恶意脚本到部署任务序列，在操作系统安装完成前的系统上下文（SYSTEM privilege）中执行代码，导致整个基础设施的镜像污染。
{#section path-to-node="9"}
强制拦截计划：两阶段演进
Microsoft 已经明确了针对 Windows 11 24H2/25H2 以及 Windows Server 2025 的两阶段处置策略：
| 阶段 | 时间节点 | 行为变更 | 运维建议 |
|---|---|---|---|
| [第一阶段]{path-to-node="11,1,0,0"} | [2026年1月13日]{path-to-node="11,1,1,0"} | [引入功能开关，默认开启但允许手动禁用。]{path-to-node="11,1,2,0"} | [应用 KB 补丁，开始评估备选部署方案。]{path-to-node="11,1,3,0"} |
| [第二阶段]{path-to-node="11,2,0,0"} | [2026年4月]{path-to-node="11,2,1,0"} | [默认禁用WDS 中的"免打扰"（Hands-free）部署功能。]{path-to-node="11,2,2,0"} | [必须通过注册表显式声明信任（不推荐），或迁移至更安全的平台。]{path-to-node="11,2,3,0"} |
{#section-1 path-to-node="13"}
深度分析：IT 架构的重构压力
从 IT 咨询顾问的角度看，这一举措标志着 Microsoft 正在加速淘汰基于旧版 RPC 协议的网络部署架构。
-
攻击向量分析：该漏洞的 CVSS 评分虽然受限于"邻近网络"属性，但在数据中心或企业局域网内部，其**低复杂度（AC:L）和无需用户交互（UI:N）**的特性使其成为横向移动的绝佳入口。
-
兼容性陷阱：对于依赖 WDS +
Unattend.xml实现大规模裸机（Bare Metal）部署的传统数据中心，4 月份的更新将直接导致现有的自动化流水线断裂。 -
安全加固路径：
1. **临时规避**：若必须维持现状，需通过注册表设置`AllowHandsFreeFunctionality = 1`{index-in-node="22" path-to-node="15,2,1,0,0"}（注意：这将使服务器持续处于暴露状态）。
2. **架构迁移**：建议全面转向**Microsoft Endpoint Manager (Intune)**、**Autopilot**或基于**HTTPS/WinRM**的现代部署工具，彻底摒弃不安全的 TFTP/RPC 明文传输。
{#section-2 path-to-node="17"}
LeisureLinux 专家提示：
作为架构师，不应仅将其视为一个简单的漏洞修复，而应看作是微软在企业级部署领域推进"零信任"（Zero Trust）架构的强制手段。请尽快自查生产环境中的 WDS 服务器，并监控 Event Viewer 中关于Unattend.xml异常访问的警告。
