Классика жанра — когда старые ACL висят где-то с Windows Server 2003, а ты думаешь, что zero-day где-то в облаках. В итоге тайный билет в домен лежит в прашном углу делегирования и WriteDACL, а не в новом баге. Главное — не забывать регулярно вычищать этот кладезь историй.