loanvui/cve-2026-62737PowerShell proof-of-concept che attiva CVE-2026-62737, una chiamata arbitraria al kernel in ExecutionContext.sys, causando un crash del kernel controllato su Windows 11.
Proof of concept per CVE-2026-62737: ExecutionContext.sys invoca un
puntatore TaskFn controllato dall'utente in modalità kernel senza validazione, producendo un
crash del kernel controllato.
Validato su Windows 11 25H2 stock (build 26200.8655, ARM64): 0x7E SYSTEM_THREAD_EXCEPTION_NOT_HANDLED, con il RIP faulting impostato sul
marcatore TaskFn controllato dal PoC.
Il medesimo script non ha causato il crash di un sistema Windows 11 24H2 non modificato (build
26100.5074, x64) perché Windows ha mantenuto disabilitato il percorso kernel vulnerabile dietro
un flag di funzionalità interno. In un test separato solo in laboratorio, abbiamo modificato manualmente quel
flag nella memoria live del kernel e quindi osservato un crash 0x50. Poiché quel test
ha modificato il kernel in esecuzione, non è una riproduzione stock 24H2. La riproduzione
stock pulita è il risultato Windows 11 25H2 ARM64 qui sopra.
Questo PoC dimostra la primitiva di chiamata kernel arbitraria e un DoS del kernel; non implementa una LPE completa per il furto di token.
Eseguire lo script dalla directory che lo contiene. Nella VM Windows 11 25H2
testata, la copia nella cartella condivisa è stata eseguita con i criteri di esecuzione PowerShell normali;
non è stato necessario ExecutionPolicy Bypass.
# Probe the device without triggering the bugcheck
.\ecpoc-route-b.ps1 -ProbeOnly -Verbose
# Trigger the bugcheck (crashes the machine)
.\ecpoc-route-b.ps1 -Verbose
powershell.exe -NoProfile -ExecutionPolicy Bypass -File .\ecpoc-route-b.ps1 -Verbose
Script PowerShell autonomo che usa C# Add-Type; supporta x64 e ARM64.