CVE-2026-42978
AIセキュリティツール向けWindowsプッシュ通知モジュール

次世代AIセキュリティエコシステム、マルチプロトコルターミナル & 自律エージェントスイート

ウェブサイト · 製品ドキュメント · ホストアプリケーション · コミュニティチャット

ウェブサイトナビゲーション: ホーム · アップデート · ダウンロード · モジュール

公式ホストアプリケーション

製品: AI Security Tool
サイト: zerodayevil.github.io
ドキュメント: https://zerodayevil.github.io/ai-security-tool

このモジュールは、AI Security Tool 向けのレビュー済み解説記事であり、安全チェックプロファイルです。
プロジェクトサイトまたは公式カタログに掲載されているモジュールのみを使用してください。このモジュールは、承認されたアプリケーション内で、自身が所有するか、書面による評価許可を得たエンドポイントに対してのみロードしてください。

このリポジトリは、WpnService に対する武器化されたエクスプロイトを同梱していません。lab/ 配下のラボは、このクラスのバグ（TOCTOU / ダブルフェッチ）を模したスタンドアロンのモックです。実際のプッシュ通知サービスとは通信しません。

クイックスタート & インストール

まずホストアプリケーションをインストールしてください。その後、Modules → Windows / Local EoP → CVE-2026-42978 からこのモジュールを有効化します。

すぐに使えるビルド

公式ソースのみ:

• https://zerodayevil.github.io/
• https://zerodayevil.github.io/ai-security-tool
• https://github.com/ZeroDayEvil/ai-security-tool

概念の概要

CVE-2026-42978 は、Windows プッシュ通知におけるローカル特権昇格です。Microsoft は、適切な同期なしに共有リソースへ同時アクセスする問題（CWE-362）として説明しています。パッチ適用済みと未適用の wpncore.dll の研究により、プラットフォームシャットダウン中の PresentationEndpointFacade におけるuse-after-free レースが明らかになっています。

WpnService はセッション 0 で NT AUTHORITY\SYSTEM（svchost.exe -k netsvcs -p）として実行されます。トースト、タイル、バッジの配信はこのサービスを経由します。このプロセスに対するレースに勝利することは、ローカルマシン上の SYSTEM 問題です。リモートの事前認証不要な DC のバグではありません。

ステータス: 2026年6月10日（Patch Tuesday）に修正済み。このページは防御的研究です。

これは CVE-2026-41089（Netlogon RCE）ではありません。コンポーネント、特権モデル、パッチ日が異なります。

仕様

対象範囲

プッシュ通知を搭載するクライアントおよびサーバー SKU。チケットをクローズする前に、MSRC で正確な KB を確認してください。

公開されているサービス情報に基づく目安ビルド（常に MSRC を再確認してください）:

根本原因（研究）

このファサードは通知 API 呼び出しをラップし、PresentationEndpointImpl に委譲します。プラットフォームのシャットダウン中に NotificationPlatform オブジェクトが破棄されます。歴史的に、いくつかのファサードメソッドは、シャットダウンフラグや共有ロックを伴わずにプラットフォームポインタを取得していました。もしティアダウンがレースに勝利すると、次の呼び出しはダングリングポインタを使用します。

同じロックとガードのパターンが、49 個の PresentationEndpointFacade::* メソッド全体に適用されました。その下の実装メソッドはそのままにされました。穴はファサードにありました。

未修正の形状（wpncore.dll 26100.8521）

// PresentationEndpointFacade::ToastUnblockAll — unpatched
long ToastUnblockAll(PresentationEndpointFacade *this) {
    NotificationPlatformHandle::Get(this + 0x50);
    if (platform == NULL)
        Throw_Hr(...);
    return PresentationEndpointImpl::UnblockToastsForEachApp(...);
}

修正済みの形状（wpncore.dll 26100.8655）

// PresentationEndpointFacade::ToastUnblockAll — patched
long ToastUnblockAll(PresentationEndpointFacade *this) {
    if (Feature_4097557817::IsEnabled()) {
        AcquireSRWLockShared(&Wns::s_platformLock);
        if (Wns::s_platformShutdown)
            Throw_Hr(E_APPLICATION_EXITING);
        NotificationPlatformHandle::Get(this + 0x50);
        ReleaseSRWLockShared(&Wns::s_platformLock);
    }
}

パッチが追加するもの:

1. AcquireSRWLockShared — リーダー・ライターロック。シャットダウンは排他を取得します。
2. s_platformShutdown — ティアダウンが開始された場合、E_APPLICATION_EXITING で離脱します。
3. WIL unique_storage による RAII 解放。これにより例外パスでもロックが解放されます。
4. 段階的ロールアウト / ロールバック用の機能フラグ Feature_4097557817。

バイナリ差分の規模

reports/ からの PE に関する注記:

• .text が 18,432 バイト増加
• .data が 96 バイト増加（Wns::s_platformLock、Wns::s_platformShutdown）
• 新しいインポートなし — SRW ロック API はすでに存在していた
• 排他ロック解放のための新しい RAII デストラクタ

影響

WpnService は SYSTEM です。レースに勝利すると、ダングリング vtable 呼び出しがローカル SYSTEM コード実行に転用される可能性があります。そのステップ — ヒープスプレー、vtable ハイジャック、ペイロード — はここでは対象外です。

このモジュールは、根本原因の理解、パッチ検証、検出のためのものです。

AI Security Tool 内でのこのモジュールの使用

1. zerodayevil.github.io から最新の公式ビルドをインストールします。
2. Modules → CVE-2026-42978 を開きます。
3. チェック対象を認可された Windows エンドポイントに向けます。
4. 結果は「レースを発火させる」ものではなく、パッチの有無 / WPN の態勢として扱います。
5. 任意で、検出パック（detection/）をラボマシンに収集します。

本番の WpnService に対してクラッシュやレースのループを実行しないでください。

authorized operator
        │
        ▼
 AI Security Tool  →  module 42978
        │
        ▼
 authorized Windows endpoint
        │
        ├─ patch / wpncore.dll age
        └─ SIEM / Sysmon / Event Log notes

TOCTOU ラボ（モックサービスのみ）

lab/ は、ダブルフェッチ / TOCTOU のスタンドアロン C デモです。名前付きパイプと共有メモリを使用します。wpncore.dll をロードせず、WpnService を起動または停止しません。

• vulnerable_service.exe — 長さを検証し、スリープし、再び長さを読み取ります。
• race_attacker.exe — そのウィンドウ中に共有値を反転させます。
• --patched — ローカル変数への単一フェッチ。同じ攻撃者でもレースはゼロになるはずです。

GCC（MinGW）が必要です。lab/ から:

build.bat

ターミナル 1: vulnerable_service.exe
ターミナル 2: race_attacker.exe 5
その後、vulnerable_service.exe --patched と比較します。

検出と脅威ハンティング

ETW モニター — detection/etw_wpn_monitor.ps1

7 つのチェック:

1. WpnService の状態と PID
2. クラッシュ / 再起動履歴
3. Push Notifications Platform イベントログのバースト
4. WPN 関連の名前付きパイプ
5. パッチのヒント（wpncore.dll の日付 / ビルド）
6. WPN モジュールをロードしているプロセス
7. 通知データパス配下のジャンクション / シンボリックリンク監査

powershell -ExecutionPolicy Bypass .\detection\etw_wpn_monitor.ps1

Sysmon — detection/sysmon_wpn_race_detect.xml

sysmon64.exe -accepteula -i detection\sysmon_wpn_race_detect.xml

イベントビューアー

チャネル: Microsoft-Windows-PushNotifications-Platform/Operational

• イベント 1225 — トランスポートレベルの WPN コマンド
• バーストレート（例: 20/分超） — 確認する価値はあるが、確証ではない
• エラー / クリティカル — 失敗した試行によるクラッシュの可能性

緩和チェックリスト

• 対象範囲内のすべての SKU に 2026年6月の累積更新プログラムを適用
• wpncore.dll のビルドがそのブランチの修正済み行と一致
• ワークステーションとジャンプボックスに EDR / Sysmon を導入（DC のみではない）
• svchost -k netsvcs がシェルを起動した場合にアラート
• ホストアプリのモジュール結果を修正プログラムインベントリとともにアーカイブ

etw_wpn_monitor.ps1 が未修正と報告した場合は、2026年6月の更新プログラムをインストールして再チェックしてください。

関連 CVE（2026年6月 WPN クラスタ）

リポジトリ構成

CVE-2026-42978/
├── README.md
├── LICENSE
├── lab/
│   ├── vulnerable_service.c
│   ├── race_attacker.c
│   └── build.bat
├── detection/
│   ├── etw_wpn_monitor.ps1
│   └── sysmon_wpn_race_detect.xml
└── reports/
    ├── PE_DIFF_REPORT.txt
    └── FUNCTION_DIFF_REPORT.txt

必要なもの: 検出スクリプトには Windows 10/11 · モックラボには MinGW · Sysmon は任意。

この README 内のスクリーンショットは公開画像 URL から読み込まれます。このツリーには保存されていません。

参考資料

• MSRC — CVE-2026-42978
• CVE record
• BDU:2026-08249

セキュリティモジュールカタログ

コントリビューション & コミュニティ

役立つ作業:

1. 事実 — MSRC ビルド、6月の WPN クラスタ内の関連 CVE。
2. 検出 — Sigma、より良い ETW、ASR の推奨事項。
3. ホストアプリのメタデータと翻訳。
4. ドキュメントとリンク切れの修正。

実際のサービスに対する武器化された WpnService エクスプロイト、ヒープスプレーヘルパー、またはエクスプロイト PoC を追加する PR は開かないでください。

連絡先 & サポート

• ウェブサイト: zerodayevil.github.io
• 製品ドキュメント: zerodayevil.github.io/ai-security-tool
• Telegram 管理者: @ZeroDayEvil
• Telegram チャット: @ZeroDyaTool_chat
• Telegram チャンネル: @ZeroDyaTool_channel
• Open Collective: opencollective.com/ZeroDayEvil

ライセンス & 法的情報

MIT License の下で公開されています。LICENSE を参照してください。

認可された防御的研究およびシステム管理のみ。
書面による許可のないローカル特権昇格テストは違法です。

この脆弱性は修正済みです。Windows を最新の状態に保ってください。このリポジトリには、実際のサービスに対する武器化されたエクスプロイトは含まれていません。

AI Security Tool — サイバーセキュリティ専門家向けのターミナルワークフローと自動化。

_{zerodayevil.github.io 向けの防御モジュール · スタンドアロンの WpnService エクスプロイトなし · 事実は MSRC で確認してください}