https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-85884
このリポジトリには、Windows Health and Optimized Experiences サービス（whesvc）と Windows Diagnostics Lua エンジンに関連する Windows の権限境界問題についての調査および概念実証の資料が含まれています。
該当する診断機能を備えたコードは、攻撃者が制御する Lua モジュールのパスを含む信頼された ETW ワークフローイベントを発行できます。LocalSystem サービスはそのイベントを消費し、WinDiag を介してモジュールを実行しますが、発行元の適切な認証や、モジュールを信頼された場所に制限する処理が不十分です。
実証された完全な遷移は次のとおりです:
低権限または WPAD LPAC のコード
-> Microsoft.Windows.Diagnostics.Lua ETW イベント
-> LocalSystem whesvc ワークフロー
-> 攻撃者が制御する Lua モジュール
-> SYSTEM プロセスのカナリア
この問題は、同梱のレポートに記載された特定の Windows 11 x64 ビルド（ビルド 26200.8457 および 29617.1000 を含む）で再現されました。
Invoke-WhesvcToSystem.ps1 は、ローカルユーザーによる最もシンプルなデモンストレーションです。DLL、コンパイラ、外部ペイロードを必要とせず、何も埋め込んだりダウンロードしたりしません。特権を持つ Lua コールバックは、cmd.exe を介して標準搭載の whoami.exe /user コマンドを実行し、その出力をカナリアファイルにリダイレクトします。
標準の非管理者 PowerShell セッションから:
powershell.exe -NoProfile -ExecutionPolicy Bypass `
-File .\Invoke-WhesvcToSystem.ps1
実行に成功すると、whoami.exe /user の出力に以下が含まれます:
nt authority\system S-1-5-18
カナリアは次の場所に書き込まれます:
%LOCALAPPDATA%\WhesvcL2S\system-canary.txt
このワークフローには最小トレース間隔があるため、デモンストレーションには通常少なくとも 35 秒かかります。
カナリアと一致する一時 Lua モジュールを削除するには:
powershell.exe -NoProfile -ExecutionPolicy Bypass `
-File .\Invoke-WhesvcToSystem.ps1 -Cleanup
この資料は、防御的研究、パッチ検証、および許可されたセキュリティテストのために提供されています。ユーザーは、適用される法律を遵守し、本番システムへの支障を避ける責任を負います。