安全研究人员披露 CVE-2026-20929 漏洞，攻击者依靠一条恶意 DNS CNAME 记录就可以操控 Windows 客户端生成指定 SPN 的 Kerberos 票据，完成 Kerberos 中继攻击，打破了过去很多企业认为 “关掉 NTLM 就可以杜绝凭据中继、Kerberos 天然防中继” 的固有认知，直接改写 AD 域横向移动的防护规则；这个攻击不需要拿到账号密码，只要攻击者在网络路径上实现 DNS 中间人劫持，配合伪造 CNAME 响应，就能诱导受害主机向 KDC 申请目标服务票据，再把票据中继转发到 AD CS、HTTP 等服务上，拿到长期有效的证书，实现持久化权限，哪怕企业已经全面禁用 NTLM 协议，这套攻击链路依然可以生效，目前已有公开 POC 可以复现该攻击。
一、漏洞基础信息表
| 项目 | 详情 |
|---|---|
| 漏洞编号 | CVE-2026-20929 |
| CVSS 评分 | 7.5 |
| 影响系统 | Windows10、Windows11、Windows Server2022、Windows Server2025 |
| 核心触发点 | Windows 客户端解析 DNS CNAME 时，直接使用 CNAME 别名作为 SPN 申请 TGS 票据 |
| 补丁时间 | 2026 年 1 月周二补丁日 |
| 攻击前提 | 攻击者具备 DNS 中间人能力（ARP 欺骗、mitm6 DHCPv6 投毒等） |
| 典型危害 | 中继至 AD CS 注册证书、域内横向移动、获取持久身份凭证 |
二、攻击完整流程拆解
- 攻击者在局域网内搭建 DNS 中间人，劫持受害者主机的 DNS 查询请求。
- 受害者访问正常域名，攻击者返回伪造 DNS 响应，里面包含一条恶意 CNAME 记录，指向攻击者选定的目标主机名，附带 A 记录指向攻击者服务器 IP。
- Windows 客户端读取 CNAME 别名，用这个别名构造 SPN，向 KDC 申请对应服务的 Kerberos TGS 票据。
- 受害者连接攻击者服务器，触发 Kerberos 认证，把这张票据提交给攻击者。
- 攻击者把这张 Kerberos 票据中继转发给目标服务（最常见是 AD CS 证书服务 certsrv）。
- 如果目标服务没有开启签名、通道绑定 CBT 等防护，攻击者就能申请证书，后续使用证书完成域内持久化、横向移动。
三、和传统 Kerberos 中继的关键区别
- 传统 Kerberos 中继：很难自由控制 SPN，攻击对象受限，大多依赖特定场景。
- CNAME 方式 Kerberos 中继：依靠 DNS 解析逻辑主动控制 SPN，想申请哪个服务的票据就指定哪个 SPN，灵活性大幅提升。
- 绕过 NTLM 防护：传统中继大多依赖 NTLM，企业禁用 NTLM 后就失效；该攻击全程走 Kerberos，NTLM 关闭完全挡不住。
- 防护责任下沉：不是 Kerberos 协议本身自带防中继，而是各个服务（HTTP、SMB、LDAP）必须单独开启签名、CBT 通道绑定，只要某一个服务没开启，就可以被中继。
四、企业原有横向防护规则被改写的地方
- 旧规则：关闭 NTLM、开启 SMB 签名，基本可以阻挡大部分中继攻击。
- 新变化：仅关闭 NTLM 不再安全，Kerberos 中继变成新的横向入口，DNS 安全、CNAME 解析逻辑成为新攻击面。
- 旧认知：Kerberos 本身具备安全设计，不容易被中继利用。
- 新变化：客户端 DNS 解析和 SPN 绑定的这个行为缺陷，让 Kerberos 中继成为稳定可用的横向手段。
- 旧策略：只监控 NTLM 中继相关日志。
- 新策略：需要新增监控 Kerberos TGS 请求、异常 CNAME 记录、AD CS 证书异常下发事件。
五、可落地的防护清单
✅ 安装微软 2026 年 1 月安全补丁，给 HTTP.sys 补齐通道绑定 CBT 支持，封堵 HTTP 方向的主要攻击面
✅ 域内强制开启 SMB 签名、LDAP 签名，所有关键服务启用通道绑定（CBT）
✅ 加固 DNS，禁止普通域用户随意新增、修改 AD 集成 DNS 内的 CNAME 记录，开启 DNS 审计日志
✅ 局域网防护：封堵 DHCPv6，防范 mitm6，部署 ARP 防护，阻止内网中间人劫持
✅ AD CS 最小权限管控：收紧证书模板权限，限制机器账号、普通用户随意注册证书
✅ 日志监控：重点监控 EventID 4769（异常 TGS 请求）、4887（证书下发）、DNS CNAME 变更日志
六、漏洞局限说明
- 必须拿到内网中间人位置，无法远程直接发起攻击，只能在同网段劫持 DNS 流量。
- 补丁只修复 HTTP.sys 这条链路，SMB 等其他服务如果没有开启签名，依然存在被该方法中继的风险。
- 攻击依赖 Windows 原生 DNS+Kerberos 的联动行为，Linux、macOS 客户端不会触发这套逻辑。
- 已经开启严格通道绑定、服务签名的目标服务，票据中继之后会校验失败，攻击无法成功。
【相关 FAQ】
问题 1：Kerberos 也能被中继，依靠 CNAME 记录的这个攻击对应的漏洞编号是什么？
回答 1：Kerberos 也能被中继，依靠 CNAME 记录的攻击对应漏洞是 CVE-2026-20929，漏洞利用 Windows 客户端处理 CNAME 记录生成 SPN 的缺陷实现 Kerberos 中继。
问题 2：Kerberos 也能被中继，CNAME 记录攻击为什么关掉 NTLM 之后依然可以生效？
回答 2：Kerberos 也能被中继，CNAME 记录攻击全程走 Kerberos 认证流程，不依赖 NTLM 协议，所以企业单纯禁用 NTLM，无法阻挡这个 Kerberos 中继攻击。
问题 3：Kerberos 也能被中继，CNAME 中继攻击最常见的落地目标是什么？
回答 3：Kerberos 也能被中继，CNAME 中继攻击最常瞄准 AD CS 证书服务 certsrv，攻击成功后可以申请长期有效的证书，用来做域内持久化和横向移动。
问题 4：Kerberos 也能被中继，CNAME 记录带来的 Kerberos 中继攻击，企业要怎么检测？
回答 4：Kerberos 也能被中继，CNAME 中继攻击可以重点监控 4769 异常 TGS 票据请求、4887 证书下发事件，同时审计 DNS 中 CNAME 记录的新增和修改行为。
【参考资料】
[2026-01-19]（New Kerberos Relay Attack Uses DNS CNAME to Bypass Mitigations - PoC Released）Cyber Security News
[2026-01-20]（新型 Kerberos 中继攻击利用 DNS CNAME 记录绕过防护措施，POC 已发布）FreeBuf
[2026-03-31]（Detecting CVE-2026-20929: Kerberos Authentication Relay via DNS CNAME Abuse）CrowdStrike
[2026-01-23]（DNS CNAME Used as Relay Attack for New Kerberos-PoC Released）Intrucept
[2026-06-23]（Reflection and Relay, Tested: NTLM, Kerberos, and the Limits of Patching）erkanaksoy.org
【免责声明】
本文仅整理 CVE-2026-20929 的公开安全研究、漏洞原理、攻击流程和防护方案，仅用于安全运维、红队防御学习参考；禁止在未授权的内网、业务环境中复现该攻击；补丁效果、服务签名、通道绑定的实际防护效果取决于企业 AD 域配置；域内安全策略调整、日志审计建设请在测试环境验证后再上线，所有风险由操作方自行承担。
本文来自作者[元轨信使]投稿，不代表环球科技潮立场，如若转载，请注明出处：https://www.zennew.com/kjyw/202611/822.html
评论列表（4条）
我是环球科技潮的签约作者“元轨信使”！
希望本篇文章《CNAME 记录滥用实现 Kerberos 中继攻击，改写域内横向移动原有安全规则》能对你有所帮助！
本站[环球科技潮]内容主要涵盖：科技,科技新闻,黑科技
本文概览：安全研究人员披露 CVE-2026-20929 漏洞，攻击者依靠一条恶意 DNS CNAME 记录就可以操控 Windows 客户端生成指定 SPN 的 Kerberos 票据，完成 Kerberos 中继攻击，打破了过去很多企业认为 “关掉 NTLM 就可以杜绝凭据中继、Kerberos 天然防中继” 的固有认知，直接改写 AD 域横向移动的防护规则；这个攻击不需要拿到账号密码，只要攻击者在网络路径上实现 DNS 中间人劫持，配合伪造 CNAME 响应，就能诱导受害主机向 KDC 申请目标服务票据，再把票据中继转发到 AD CS、HTTP 等服务上，拿到长期有效的证书，实现持久化权限，哪怕企业已经全面禁用 NTLM 协议，这套攻击链路依然可以生效，目前已有公开 POC 可以复现该攻击。