CVE-2026-85884: Escalada de Privilegios WPAD LPAC y WHESVC

Resumen

Una vulnerabilidad en el límite de privilegios de Windows afecta al servicio de Experiencias de Salud y Optimización de Windows (whesvc) y al motor Lua de Diagnósticos de Windows. Un atacante que ejecute código de bajo privilegio o WPAD LPAC puede activar un evento de flujo de trabajo ETW de confianza para cargar y ejecutar un módulo Lua arbitrario. La explotación exitosa permite la escalada de privilegios locales a la cuenta SYSTEM.

Investigación

Las investigaciones muestran que el servicio LocalSystem procesa eventos ETW sin validar adecuadamente al productor del evento ni restringir las ubicaciones desde las cuales se pueden cargar los módulos Lua. La prueba de concepto utiliza un script de PowerShell para activar el flujo de trabajo y lanza whoami.exe a través de cmd.exe, confirmando la ejecución exitosa con privilegios a nivel de SYSTEM.

Mitigación

Los usuarios deben consultar la guía de actualización del Microsoft Security Response Center (MSRC) para el CVE-2026-85884 y aplicar los parches de seguridad relevantes. Aplicar el principio de privilegio mínimo y monitorear actividades inusuales de eventos ETW asociadas a whesvc puede proporcionar cobertura defensiva adicional.

Respuesta

Cuando se detecte actividad no autorizada del servicio LocalSystem o una ejecución sospechosa de PowerShell que involucre el flujo de trabajo de whesvc, las organizaciones deben aislar el host afectado. Revisar la telemetría ETW en busca de eventos anómalos de Microsoft.Windows.Diagnostics.Lua e inspeccionar los módulos Lua por modificaciones no autorizadas o inesperadas.

Ejecución de Simulación

• Narrativa del Ataque & Comandos: El adversario ha obtenido acceso inicial a una estación de trabajo e identificado una vulnerabilidad en el servicio whesvc. Para escalar privilegios a SYSTEM, el atacante descarga un script llamado Invoke-WhesvcToSystem.ps1. Ejecutan este script usando powershell.exe con el flag -ExecutionPolicy Bypass para eludir las restricciones de seguridad locales. Una vez que se ejecuta el exploit, el atacante inmediatamente ejecuta whoami /user para confirmar que ha transicionado exitosamente de un contexto de usuario estándar al contexto NT AUTHORITYSYSTEM. Esta secuencia está diseñada para coincidir con las firmas de detección específicas proporcionadas en la regla.

• Script de Prueba de Regresión:

  # 1. Crear una versión ficticia del script de exploit para satisfacer la comprobación de la línea de comando
  $scriptPath = "$env:TEMPInvoke-WhesvcToSystem.ps1"
  "Write-Output 'Simulando Exploit...'" | Out-File -FilePath $scriptPath -Encoding utf8
  
  # 2. Ejecutar el comando exactamente como se define en la lógica de detección
  # Esto debería activar la regla
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -ExecutionPolicy Bypass -File .$scriptPath" -Wait
  
  # 3. Ejecutar el disparador de detección secundario (whoami /user)
  cmd.exe /c "whoami /user"

• Comandos de Limpieza:

  # Eliminar el script de exploit simulado
  Remove-Item -Path "$env:TEMPInvoke-WhesvcToSystem.ps1" -Force