CVE-2026-85884: WPAD LPACおよびWHESVC特権昇格

概要

Windows の特権バウンダリ脆弱性が、Windows Health and Optimized Experiences service (whesvc) と Windows Diagnostics Lua エンジンに影響します。低い特権または WPAD LPAC コードを実行する攻撃者は、信頼された ETW ワークフローイベントをトリガーして任意の Lua モジュールをロードおよび実行できます。悪用に成功すると、SYSTEM アカウントへのローカル特権昇格が可能になります。

調査

調査によれば、LocalSystem サービスは ETW イベントを処理する際に、イベント プロデューサーを十分に検証せず、Lua モジュールがロードされる場所を制限していません。概念実証では、PowerShell スクリプトを使用してワークフローをトリガーし、cmd.exe を介して whoami.exe を起動し、SYSTEM レベルの特権での実行を確認します。

緩和策

ユーザーは Microsoft Security Response Center (MSRC) の CVE-2026-85884 用の更新ガイドを参照し、関連するセキュリティパッチを適用する必要があります。最小特権の原則を強化し、whesvc に関連する異常な ETW イベントの活動を監視することで、追加の防御を行うことができます。

対応

無許可の LocalSystem サービス活動や whesvc ワークフローに関連する疑わしい PowerShell の実行が検出された場合、組織は影響を受けたホストを隔離するべきです。ETW テレメトリを確認し、Microsoft.Windows.Diagnostics.Lua イベントの異常を探し、Lua モジュールに無許可または予期しない変更がないか調査してください。

シミュレーション実行

• 攻撃の流れとコマンド： 攻撃者はワークステーションへの初期アクセスを獲得し、 whesvc サービスに脆弱性を見つけました。特権を SYSTEMに昇格するため、攻撃者は Invoke-WhesvcToSystem.ps1という名のスクリプトをダウンロードします。これを実行するために powershell.exe を使用し、ローカルセキュリティ制限を回避するために -ExecutionPolicy Bypass フラグを設定します。エクスプロイトが実行されると、攻撃者は whoami /user をすぐに実行して、標準ユーザーコンテキストから NT AUTHORITYSYSTEM コンテキストへの成功した移行を確認します。このシーケンスは、ルールで提供される特定の検出シグネチャに一致するように設計されています。

• リグレッションテストスクリプト：

  ＃ 1. コマンドラインチェックを満たすためにエクスプロイトスクリプトのダミーバージョンを作成します
  $scriptPath = "$env:TEMPInvoke-WhesvcToSystem.ps1"
  "Write-Output 'Simulating Exploit...'" | Out-File -FilePath $scriptPath -Encoding utf8
  
  ＃ 2. 検出ロジックで定義された通りにコマンドを実行します
  ＃ これによりルールがトリガーされるはずです
  Start-Process "powershell.exe" -ArgumentList "-NoProfile -ExecutionPolicy Bypass -File .$scriptPath" -Wait
  
  ＃ 3. 第二の検出トリガー（whoami /user）を実行します
  cmd.exe /c "whoami /user"

• クリーンアップコマンド：

  # ダミーのエクスプロイトスクリプトを削除します
  Remove-Item -Path "$env:TEMPInvoke-WhesvcToSystem.ps1" -Force