CVE-2026-49176 SYSTEM Shell PoC

إثبات مفهوم لتصعيد الامتيازات محليًا لثغرة Windows WalletService التي تم إصلاحها في يوليو 2026.

التحليل التقني: CVE-2026-49176 Exploit Development: WalletService to SYSTEM.

يقوم مستخدم عادي بإنشاء قاعدة بيانات Wallet ESE تحتوي على استدعاء رجعي (callback) محفوظ ويعيد توجيه مجلد Documents المعروف الخاص به إليها. يفتح WalletService المصاب بالثغرة قاعدة البيانات بصلاحيات LocalSystem مع تمكين الاستدعاءات الرجعية المحفوظة، مما يجعل ESE يحمّل ملف DLL المزوّد. تبدأ الحمولة موجه أوامر بصلاحيات SYSTEM في جلسة سطح المكتب النشطة.

التشغيل

على نظام Windows 11 مصاب بالثغرة، افتح PowerShell بدون صلاحيات مرتفعة ونفّذ:

powershell.exe -ExecutionPolicy Bypass -File .\trigger.ps1

بدلاً من ذلك، انقر نقرًا مزدوجًا على run.cmd. يجب أن تُفتح صدفة (shell) وتطبع nt authority\system.

لإعادة بناء الملفات الثنائية المضمّنة، ثبّت أدوات بناء Visual Studio C++ ونفّذ:

powershell.exe -ExecutionPolicy Bypass -File .\build.ps1

تم الاختبار على Windows 11 25H2 build 26200.8737.

السبب الجذري

يحل WalletService المسار FOLDERID_Documents أثناء انتحال هوية المستدعي، ثم يعود إلى LocalSystem قبل فتح <Documents>\Wallet\wallet.db. يقبل قاعدة بيانات أنشأها المستدعي ويمكّن استدعاءات ESE المحفوظة. عند فتح جدول Cards، يحل مسار الاستدعاء الرجعي المخزّن في مخطط قاعدة البيانات ويحمّل ملف DLL المحدد بصلاحيات SYSTEM.