El DNS que cal actualitzar és el teu controlador de domini

El dimarts 11 d'agost Microsoft va publicar CVE-2026-62878: un desbordament de pila a Windows DNS que puntua 9,8 sobre 10. Sense credencials, sense que ningú hagi de clicar res, un paquet per la xarxa. El que fa que aquest butlletí sigui diferent dels altres tres-cents i escaig del mateix dia no és la nota: és quina màquina fa anar aquest servei a la majoria d'empreses que visitem.

És el controlador de domini. El mateix que valida les contrasenyes, reparteix les polítiques de grup i sosté la carpeta compartida. I per això fa mesos, de vegades anys, que no es reinicia.

Què diu el butlletí, sense adorns

Les dades són del mateix Centre de resposta de seguretat de Microsoft, consultades el 13 d'agost:

La Zero Day Initiative, que publica el seu repàs cada mes, ho va resumir amb una frase que ho aclareix prou: «un desbordament de pila dels de tota la vida que acaba sent propagable com un cuc». Vol dir que, si algú troba la manera de disparar-lo de manera fiable, salta d'una màquina a la següent sense que ningú obri cap adjunt.

La persona que mai no agafa vacances

Tots hem treballat en un lloc on hi havia algú que no agafava vacances. No per vocació: perquè ningú més sabia tancar el mes, o signar allò, o tocar el programa vell. A l'empresa s'explicava com un elogi —«és imprescindible»— quan descrivia una errada de l'organització. La prova arribava el dia que aquella persona es posava malalta un dimarts qualsevol i s'aturava el departament sencer.

Amb els servidors fem exactament el mateix, només que a la dependència en diem consolidació. Una màquina que fa de DNS, de controlador de domini, de servidor de fitxers, de servidor d'impressió i, si el dia acompanya, també de servidor de l'aplicació de gestió. Funciona. Funciona durant anys. I el dia que cal reiniciar-la resulta que cap hora del calendari no és bona.

Que el DNS visqui al controlador de domini no és cap badada de ningú

Val més no repartir culpes on no toca. L'Active Directory necessita DNS: els clients localitzen els controladors de domini preguntant per registres SRV, i els controladors mateixos es parlen entre ells pel nom. I l'assistent de promoció de Windows Server ve amb la casella marcada de fàbrica. La documentació de Microsoft ho diu amb totes les lletres: «quan crees un bosc, l'opció de servidor DNS està seleccionada per defecte», i més avall, «recomanem que tots els controladors de domini proporcionin serveis de DNS i de catàleg global per tenir alta disponibilitat en entorns distribuïts. Per això aquestes opcions estan habilitades per defecte».

Fixa't en la frase sencera, perquè la meitat que es cita menys és la que importa: la recomanació és que tots els controladors facin de DNS, en plural, i el motiu declarat és l'alta disponibilitat. El disseny que descriu Microsoft està bé. El problema apareix quan la cosa es queda a mig camí: es marca la casella i mai no s'arriba al segon controlador. En aquell moment la casella deixa de donar alta disponibilitat i passa a concentrar dos oficis crítics en un sol equip.

Per mesurar fins a quin punt estan entrellaçats els dos papers, val la pena llegir la taula de Microsoft sobre què passa si forces la retirada d'un controlador que a més fa de DNS: les dades de les zones integrades a l'Active Directory que desava aquell servidor desapareixen amb ell, i l'acció prèvia que la mateixa taula recomana és repassar la configuració DNS de tots els equips que apuntaven a aquella IP. Un servei de noms normal no obliga a repassar tot el parc quan es retira una màquina.

Què s'atura mentre aquella màquina arrenca

Aquí és on la finestra de manteniment deixa de ser un tràmit. Els llocs de treball troben a qui demanar un tiquet de Kerberos consultant registres SRV al DNS del domini; si l'únic servidor que els serveix està arrencant, el que es degrada no és «la navegació»: són els inicis de sessió nous, l'aplicació de polítiques de grup, el muntatge d'unitats de xarxa, les cues d'impressió i qualsevol aplicació que autentiqui contra el directori. Els equips ja engegats aguanten una estona gràcies a les memòries cau i als tiquets que encara no han caducat, i això és justament el que fa que el problema sembli petit fins que deixa de ser-ho.

I el reinici d'un controlador no dura el que dura un reinici. Dura l'arrencada del sistema, més l'arrencada dels serveis de directori, més la comprovació del SYSVOL, més el temps que triga un client a deixar d'insistir amb el servidor que ha caigut. Per això la conversa amb la propietat no hauria d'anar de «cinc minuts»: hauria d'anar de a quina hora l'oficina es pot quedar sense noms.

El que sí que estan explotant puntua 7,0

Al mateix lot hi anava CVE-2026-68820: un ús després d'alliberar al controlador auxiliar de WinSock (afd.sys) que porta a SYSTEM. Base 7,0, gravetat «important», i amb complexitat d'atac alta perquè, segons la mateixa FAQ de Microsoft, «l'explotació amb èxit requereix que l'atacant guanyi una condició de cursa». És l'únic de la tanda marcat com a «explotació detectada»; segons BleepingComputer s'ha fet servir per desplegar una versió nova del rootkit FudModule, i la recerca s'atribueix a Moshe Marelus i David Driker, de Check Point.

La Zero Day Initiative li dedica una punxada que val la pena copiar sencera, perquè explica per què aquestes fitxes s'han de llegir amb les dues mans: «Microsoft indica al CVSS que la maduresa del codi d'explotació és “no provada” però alhora el marca com a explotat activament». Les dues etiquetes del mateix butlletí es contradiuen, i qui hagi de decidir aquesta setmana conviu amb aquesta contradicció.

El repàs que demanem abans de tocar un controlador de domini

Sis comprovacions, totes avorrides, totes d'abans de la finestra:

Hi ha un indicador que val més que qualsevol quadre de comandament: quant fa que aquell servidor no es reinicia. Si el temps d'activitat es compta en anys, el que estàs mesurant és una finestra de manteniment ajornada fins a convertir-se en una por. I les pors d'aquesta mena marxen el dia que algú munta el segon controlador i el primer deixa de ser insubstituïble.

Quan NO s'ha de reiniciar res aquesta nit

Tres avisos que van contra el reflex del sector, el nostre inclòs:

El 8 de setembre hi ha un altre dimarts de pedaços

La llista de màquines que caldrà reiniciar serà semblant a la d'aquest mes, i la d'octubre també. El pedaç d'agost s'aplica en una nit; l'inventari de servidors que només es poden reiniciar amb permís de la gerència s'arrossega durant anys. D'aquí al 8 de setembre hi ha vint-i-sis dies, que són temps de sobres per muntar un segon controlador de domini en un altre ferro, apuntar-los tots dos al DHCP i treure a aquella màquina el títol d'imprescindible.

Fonts (consultades el 13 d'agost de 2026): fitxes de CVE-2026-62878 i CVE-2026-68820 amb vector, avaluació d'explotabilitat, FAQ, productes afectats, butlletins KB i requisit de reinici — MSRC de Microsoft; repàs d'agost de 2026 amb el recompte de 398 CVE, la citació del desbordament propagable i la contradicció de les etiquetes — Zero Day Initiative; explotació d'afd.sys, rootkit FudModule i crèdits de la recerca — BleepingComputer; opcions marcades per defecte en promoure un controlador i advertiments de la retirada forçada — Microsoft Learn.