CVE-2026-85884: WPAD LPAC i WHESVC – eskalacja uprawnień

Podsumowanie

Luka w granicy przywilejów systemu Windows wpływa na usługę Windows Health and Optimized Experiences (whesvc) i silnik Windows Diagnostics Lua. Atakujący uruchamiający kod o niskich uprawnieniach lub WPAD LPAC może wywołać zaufane zdarzenie workflow ETW, aby załadować i uruchomić dowolny moduł Lua. Udane wykorzystanie umożliwia lokalną eskalację przywilejów do konta SYSTEM.

Badanie

Badania pokazują, że usługa LocalSystem przetwarza zdarzenia ETW bez wystarczającej weryfikacji producenta zdarzeń lub ograniczeń miejsc, z których mogą być ładowane moduły Lua. Dowód koncepcji używa skryptu PowerShell, aby uruchomić workflow i odpala whoami.exe przez cmd.exe, potwierdzając udane wykonanie z poziomem uprawnień SYSTEM.

Łagodzenie

Użytkownicy powinni skonsultować się z przewodnikiem aktualizacji Microsoft Security Response Center (MSRC) dla CVE-2026-85884 i zastosować odpowiednie poprawki bezpieczeństwa. Egzekwowanie zasady minimalnych uprawnień i monitorowanie nietypowej aktywności zdarzeń ETW związanych z whesvc może zapewnić dodatkową ochronę.

Reakcja

Gdy wykryte zostanie nieautoryzowane działanie usługi LocalSystem lub podejrzane wykonanie skryptu PowerShell z udziałem workflow whesvc, organizacje powinny izolować dotknięty host. Przejrzyj telemetrię ETW pod kątem anomalii Microsoft.Windows.Diagnostics.Lua i sprawdź moduły Lua pod kątem nieautoryzowanych lub niespodziewanych modyfikacji.

Wykonanie symulacji

• Narracja ataku i polecenia: Przeciwnik uzyskał wstępny dostęp do stacji roboczej i zidentyfikował lukę w usłudze whesvc. Aby eskalować uprawnienia do , atakujący pobiera skrypt o nazwie , atakujący pobiera skrypt o nazwie. Uruchamiają ten skrypt za pomocą . Uruchamiają ten skrypt za pomocąz flagą z flagą aby obejść lokalne ograniczenia bezpieczeństwa. Po uruchomieniu exploita, atakujący natychmiast wykonuje aby obejść lokalne ograniczenia bezpieczeństwa. Po uruchomieniu exploita, atakujący natychmiast wykonuje aby potwierdzić, że pomyślnie przeszedł ze standardowego kontekstu użytkownika do aby potwierdzić, że pomyślnie przeszedł ze standardowego kontekstu użytkownika do kontekstu NT AUTHORITYSYSTEM. Ta sekwencja jest zaprojektowana tak, aby pasować do określonych sygnatur wykrywania zawartych w regule. Skrypt testu regresji: # 1. Utwórz fałszywą wersję skryptu exploita, aby spełnić kontrolę linii poleceń $scriptPath = „$env:TEMPInvoke-WhesvcToSystem.ps1” „Write-Output 'Symulacja exploita…'” | Out-File -FilePath $scriptPath -Encoding utf8 # 2. Wykonaj polecenie dokładnie według definicji logiki wykrywania # To powinno wyzwolić regułę Start-Process „powershell.exe” -ArgumentList „-NoProfile -ExecutionPolicy Bypass -File .$scriptPath” -Wait # 3. Wykonaj drugorzędne wyzwalanie wykrywania (whoami /user) cmd.exe /c „whoami /user”

• Polecenia oczyszczania:

  # Usuń symulowany skrypt exploita
  Remove-Item -Path "$env:TEMPInvoke-WhesvcToSystem.ps1" -Force

• Przepływ ataku

  Wciąż aktualizujemy tę część.