CVE-2026-85884: WPAD LPAC 与 WHESVC 权限提升

摘要

一个Windows特权边界漏洞影响Windows健康和优化体验服务（whesvc）和Windows诊断Lua引擎。攻击者运行低权限或WPAD LPAC代码可以触发受信任的ETW工作流事件来加载并执行任意Lua模块。成功的利用可以实现本地权限提升到SYSTEM账户。

调查

研究表明，LocalSystem服务处理ETW事件时未充分验证事件的生产者或限制Lua模块加载的位置。概念验证使用一个PowerShell脚本触发这一工作流，并通过cmd.exe启动whoami.exe，确认以SYSTEM级别权限成功执行。

缓解措施

用户应查阅微软安全响应中心（MSRC）提供的CVE-2026-85884更新指南并应用相关的安全补丁。执行最小权限原则并监控与whesvc相关的异常ETW事件活动可以提供额外的防御覆盖。

响应措施

当检测到未经授权的LocalSystem服务活动或与whesvc工作流有关的可疑PowerShell执行时，组织应隔离受影响的主机。审查ETW遥测数据寻找异常的Microsoft.Windows.Diagnostics.Lua事件，并检查Lua模块是否存在未经授权或意外的修改。

模拟执行

• 攻击叙事及命令： 对手已获得工作站的初始访问并识别出一个漏洞在 whesvc 服务中。为了提升权限到 SYSTEM，攻击者下载了一个名为 Invoke-WhesvcToSystem.ps1的脚本。他们使用 powershell.exe 并带有 -ExecutionPolicy Bypass 参数来绕过本地安全限制。一旦漏洞被执行，攻击者立即执行 whoami /user 来确认他们已成功从标准用户上下文转换到 NT AUTHORITYSYSTEM 上下文。此序列旨在与规则中提供的特定检测签名相匹配。

• 回归测试脚本：

  # 1. 创建一个模拟漏洞脚本的虚拟版本以满足命令行检查
  $scriptPath = "$env:TEMPInvoke-WhesvcToSystem.ps1"
  "Write-Output '模拟漏洞...'" | Out-File -FilePath $scriptPath -Encoding utf8
  
  # 2. 精确执行检测逻辑中定义的命令
  # 这应该触发规则
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -ExecutionPolicy Bypass -File .$scriptPath" -Wait
  
  # 3. 执行次级检测触发器（whoami /user）
  cmd.exe /c "whoami /user"

• 清理命令：

  # 移除模拟的漏洞脚本
  Remove-Item -Path "$env:TEMPInvoke-WhesvcToSystem.ps1" -Force