Sambaに6件の脆弱性 AD DCはドメイン乗っ取りの恐れ

脆弱性・脅威情報

【更新 2026-08-10】本記事を見直し、修正しました。主な修正点：AD DC以外の構成で該当しない脆弱性の件数を4件→5件に訂正（内蔵DNSサーバはAD DC用の samba デーモンが提供する機能のため、CVE-2026-58218もAD DC構成に限られる）。Debian旧安定版の状況を訂正（bullseyeはCVE-2026-58221 / 58222が「ignored」＝修正提供の予定なし）。

2026年7月28日、Sambaチームがセキュリティリリース 4.24.5 / 4.23.10 / 4.22.11 を公開しました。同時に修正された脆弱性は6件で、最も重いのは CVE-2026-58221（CVSS 8.8）。Active Directoryドメインコントローラ（AD DC）として動かしている場合、ごく普通の一般ドメインユーザーがドメイン全体を乗っ取れるもので、回避策はありません。

ただし、いきなり全台を止めて更新する話ではありません。深刻な脆弱性の大半は「SambaをAD DCとして動かしている場合」に限られ、Windows ADに参加させたファイルサーバ用途では対象外のものが多いためです。

この記事でわかること

  • 今回修正された6件の内容と、影響するSambaの構成（AD DC／内蔵DNS／CTDBクラスタ）
  • 自社のSambaが該当するかを切り分ける手順
  • ディストリビューションのパッケージでは「バージョン番号での該当判定」が効かない理由
  • 公式アドバイザリの記載に不備があり、そのまま従うと修正版を取り違える箇所

何が修正されたのか

Sambaチームが修正版を出しているのは、現在保守中の3系列です。公表日はいずれも2026年7月28日です。

系列 影響を受けるバージョン 修正版
4.24系 4.24.4 以前 4.24.5
4.23系 4.23.9 以前 4.23.10
4.22系 4.22.10 以前 4.22.11

6件の内訳は次のとおりです。CVSSはSambaチームがアドバイザリに記載した値（v3.1基本値）です。

CVE 内容 CVSS 影響する構成 回避策
CVE-2026-58221 LDAP経由で内部LDBの特殊レコード（@MODULES 等）を書き換えられ、ACL処理を外した状態でドメイン乗っ取りが可能 8.8 AD DC（4.0.0以降） なし
CVE-2026-58222 LDAP Compare要求のフィルタ注入＋権限チェック漏れで、機密属性（gMSAのルート鍵など）を1ビットずつ読み出せる 8.8 AD DC（4.0.0以降。gMSA経路は4.21.0以降） なし
CVE-2026-6949 名前圧縮を含むTSIGレコードでサイズ計算を誤り、内蔵DNSサーバがクラッシュ 7.5 内蔵DNSサーバ BIND9 DLZは影響なし
CVE-2026-58224 CTDBプロトコルの境界チェック不足。クラスタのクラッシュや隣接メモリの限定的な漏えい 7.1 CTDBクラスタ（4.2以降） CTDB専用ネットワークの分離
CVE-2026-58218 未認証でTKEY名を大量登録してキャッシュを枯渇させ、正規のTSIG署名を妨害 5.3 内蔵DNSサーバ BIND9 DLZは影響なし
CVE-2026-58216 不正なASN.1を含むkpasswdパケットでKDCプロセスがクラッシュしうる 5.3 AD DC（KDC） kpasswd port = 0

注目すべきはCVE-2026-58221が「Samba AD DC 4.0.0以降のすべて」に該当する点です。Samba 4.0.0はAD DC機能を初めて搭載したリリースで、公開は2012年12月11日。つまりSambaのAD DCは、機能が世に出た最初の版からこの欠陥を抱えていたことになります。

自社は影響を受けるか（切り分けの手順）

判定の第一段は「AD DCかどうか」です。Windows ADに参加させたファイルサーバや、ワークグループのファイル共有として使っているだけであれば、上表6件のうち5件（58221 / 58222 / 6949 / 58218 / 58216）は該当しません。内蔵DNSサーバはAD DCとして動かす samba デーモンが提供する機能（server services の dns）なので、DNS関連の6949・58218もAD DC構成に限られます。

AD DCとして動いているかを確認するには

設定上の役割は次のコマンドで確認できます。ROLE_ACTIVE_DIRECTORY_DC と表示されればAD DCです。

testparm -s | grep -i "server role"

プロセス側からも見分けられます。Samba公式のリリースノートが明記しているとおり、AD DCとして動かす場合は smbd / nmbd / winbindd ではなく samba という単一のデーモンを起動します（内部でLDAPサーバとKerberos KDCを束ねる構成のため）。samba-ad-dc というサービス名で動いていないかを併せて確認してください。

CTDBクラスタを組んでいるか

CVE-2026-58224はCTDB（Samba用のクラスタデータベース）を使っている場合のみ該当します。攻撃元はローカルネットワーク（AV:A）に限られ、Sambaチーム自身も「CTDB専用ネットワークはクライアント網から分離すべき」という従来からの推奨が緩和になると書いています。逆に言えば、分離せずクライアント網に相乗りさせている構成では推奨が効いていません。スケールアウト型のNASやファイルサーバクラスタを運用しているなら確認対象です。

「AD DCじゃないから無関係」とは言い切れない1件

ここが今回いちばん見落とされやすい点です。Ubuntuが同日に公開した更新（USN-8621-1）は、上記6件に加えて CVE-2026-15779 を含んでいます。これはSamba公式のセキュリティ一覧には掲載されておらず（アドバイザリのページ自体が存在しません）、上流のsamba.orgだけを見ていると気づけません。

内容は pam_winbind の不具合です。mkhomedir を有効にしていると、対象アカウントのホームディレクトリを検証せずに chown するため、ホームディレクトリが / になっているアカウント（システムアカウントの既定値としてよくある構成）を経由すると / の所有者が書き換わり、SSH・sudo・パッケージ管理が壊れるという深刻なサービス停止につながります。CVSSは6.1（AV:L）と控えめですが、影響は可用性の喪失です。

そして pam_winbind は、まさにWindows ADに参加させたLinuxサーバ側で使う仕組みです。AD DCを運用していない組織ほど、こちらが自社の該当箇所になります。

現場目線の課題：バージョン番号では判定できない

「4.24.5以上なら安全」と読み替えて資産台帳と突き合わせようとすると、たいていの環境で破綻します。ディストリビューションのパッケージは、古い系列に修正だけを取り込む（バックポートする）ためです。

配布元 対象 修正済みパッケージ
Ubuntu（USN-8621-1） 26.04 LTS 2:4.23.6+dfsg-1ubuntu2.2
24.04 LTS 2:4.19.5+dfsg-4ubuntu9.7
22.04 LTS 2:4.15.13+dfsg-0ubuntu1.13
Debian（DSA-6401-1） 13（trixie） 2:4.22.10+dfsg-0+deb13u2

Ubuntu 22.04 LTSの修正版は 4.15.13 です。上流の4.24.5と比べて「9系列も古い＝未対応」と判断してしまうと、実際には修正済みの機器を無駄に触ることになります。判定に使うべきは上流のバージョン番号ではなく、ディストリのパッケージバージョン（およびUSN／DSA番号）です。

逆に、Debianはsecurity trackerが執筆時点（2026年8月10日）で 12（bookworm）と11（bullseye）を「vulnerable」と表示しています。修正が出ているのはtrixie以降だけで、bookwormは待ちの状態です。ただしbullseyeは最重要のCVE-2026-58221 / 58222について「ignored（AD DC用途のみ／bullseyeはセキュリティサポート対象外）」と注記されており、修正は提供されません。Red Hat Enterprise Linuxについては、Red Hatが「RHELはSamba AD DCロールを出荷・サポートしていない」と明記しており、標準構成ではCVE-2026-58221 / 58222の対象外です（ファイルサーバ・ドメインメンバー用途としての更新は必要）。

CVE番号を追う運用では、そもそも見えない

今回の6件をNVDで引くと、執筆時点でCVE-2026-58221・CVE-2026-58224・CVE-2026-6949の3件は登録されていません（該当なしで返ります）。登録済みの3件も評価待ち（Awaiting Analysis）で、表示されるCVSSはRed Hatによる二次評価のみです。

公表から2週間近く経ってもこの状態ということは、NVDのフィードやCVEデータベース起点の脆弱性管理では、最も重い「ドメイン乗っ取り」が視界に入らないということです。開発元の告知ページそのものを購読対象にしておく必要があります（CVEの仕組みと実務での使い方も併せてどうぞ）。

公式アドバイザリの記載にも不備がある

今回、一次情報を突き合わせて確認できた記載上の問題を挙げておきます。アドバイザリだけを読んで作業すると取り違えます。

  • 修正版が書かれていない：CVE-2026-6949 / 58216 / 58218 の3件は、修正版を記載すべき箇所に Samba $VERSIONS というテンプレートの置換前文字列がそのまま残っています。
  • 修正版の記載が誤っている：CVE-2026-58224 は「4.24.5, 4.23.11, 4.22.10 をセキュリティリリースとして公開した」と書いていますが、4.22.10は影響を受ける側で、修正版は4.22.11です。また4.23.11は8月3日公開の通常の安定版リリースであって、セキュリティリリースは4.23.10です。
  • CVE番号の誤記：CVE-2026-58218 のアドバイザリは、見出しのCVE IDを CVE-2025-58218（年が2025）と記載しています。

確実なのは各バージョンのリリースノートです。4.24.5 / 4.23.10 / 4.22.11 のリリースノートには「これは以下の欠陥に対処するためのセキュリティリリースである」として6件のCVEが列挙されています。修正版の確定はアドバイザリではなくリリースノートで行ってください。

現場でどう動くか

Sambaの厄介なところは、「導入した覚えのない場所」で動いていることが多い点です。NASやバックアップアプライアンスの内部、検証用に立てたまま残っているLinuxサーバ、部門が勝手に用意したファイル共有。資産管理台帳に「Samba」という行が立っていることはまずありません。今回のように「AD DCなら重大、それ以外なら限定的」と影響が構成に強く依存する場合、棚卸しの粗さがそのまま判断の粗さになります。まずは自社でAD DCを1台でも運用しているかを、担当者の記憶ではなくコマンドの出力で確定させるところからです。

アプライアンス内蔵のSambaはベンダーの更新を待つしかありません。その間、AD DCとして公開している場合はLDAP（389/636）やKerberos関連ポートを必要な範囲に絞ることが現実的な緩和になります。

なお、悪用の報告は執筆時点で確認できていません。ただしCVE-2026-58221は仕組みが公開されており、攻撃に必要なのは「有効なドメインユーザーのアカウント1つ」だけです。フィッシングや端末の侵害で一般ユーザーの資格情報が1件取られた時点で、そのまま管理者権限まで到達できてしまう構図になります（ラテラルムーブメント（横展開）とは）。「重要な権限を持つ人だけ気をつければよい」という発想が通用しないタイプなので、全社的な啓発の優先度を下げないことが結果的に効きます。

侵害が疑われる場合、CVE-2026-58221のアドバイザリはAD DC側の痕跡を具体的に挙げています（sam.ldb の更新時刻、@ で始まるDNへのLDAP操作、保護グループへの想定外の追加など）。確認の進め方はTeamCityの侵害痕跡確認の記事も参考になります。パッチ適用の優先順位付けや社内での合意形成については、IPAの中小企業の情報セキュリティ対策ガイドラインが、利用者向けの啓発には対策のしおりが使えます。

まとめ

  1. Sambaが7月28日に6件を修正。修正版は4.24.5 / 4.23.10 / 4.22.11。最重要のCVE-2026-58221（CVSS 8.8）はAD DC構成のみ該当・回避策なしで、一般ドメインユーザーからドメイン乗っ取りに至る。
  2. 判定の第一段は「AD DCかどうか」。ただしAD DCを使っていない組織でも、pam_winbind の CVE-2026-15779（Ubuntuの更新に同梱、Samba公式一覧には未掲載）が該当しうる。
  3. 上流のバージョン番号で該当判定をしない。ディストリはバックポートするため（Ubuntu 22.04の修正版は4.15.13）、判定はパッケージバージョンとUSN／DSA番号で行う。NVDには3件が未登録のため、CVEフィード頼みの運用では検知できない。

出典

タイトルとURLをコピーしました