beardhammer/cve-2026-85884PowerShell-доказательство концепции, демонстрирующее CVE-2026-85884 — повышение привилегий через Windows whesvc/WinDiag Lua ETW из кода с низкими привилегиями или WPAD LPAC до SYSTEM.
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-85884
Этот репозиторий содержит материалы исследования и proof-of-concept для проблемы границы привилегий Windows, связанной со службой Windows Health and Optimized Experiences (whesvc) и движком Windows Diagnostics Lua.
Код, выполняющийся с соответствующей диагностической возможностью, может генерировать доверенное событие рабочего процесса ETW, содержащее контролируемый злоумышленником путь к модулю Lua. Служба LocalSystem принимает это событие и выполняет модуль через WinDiag без надлежащей аутентификации источника события и без ограничения модуля доверенным расположением.
Полностью продемонстрированный переход:
код с низкими привилегиями или WPAD LPAC
-> событие ETW Microsoft.Windows.Diagnostics.Lua
-> рабочий процесс whesvc в LocalSystem
-> контролируемый злоумышленником модуль Lua
-> канарейка в процессе SYSTEM
Проблема была воспроизведена на точных сборках Windows 11 x64, задокументированных во включённых отчётах, включая сборки 26200.8457 и 29617.1000.
Invoke-WhesvcToSystem.ps1 — простейшая демонстрация для локального пользователя. Она не требует DLL, компилятора или внешней полезной нагрузки и ничего не встраивает и не загружает. Привилегированный обратный вызов Lua запускает встроенную команду whoami.exe /user через cmd.exe и перенаправляет её вывод в файл-канарейку.
Из стандартного сеанса PowerShell без прав администратора:
powershell.exe -NoProfile -ExecutionPolicy Bypass `
-File .\Invoke-WhesvcToSystem.ps1
Успешный запуск создаёт вывод whoami.exe /user, содержащий:
nt authority\system S-1-5-18
Канарейка записывается в:
%LOCALAPPDATA%\WhesvcL2S\system-canary.txt
Рабочий процесс имеет минимальный интервал трассировки, поэтому демонстрация обычно занимает не менее 35 секунд.
Удалите канарейку и все соответствующие временные модули Lua с помощью:
powershell.exe -NoProfile -ExecutionPolicy Bypass `
-File .\Invoke-WhesvcToSystem.ps1 -Cleanup
Этот материал предоставлен для оборонительных исследований, проверки исправлений и авторизованного тестирования безопасности. Пользователи несут ответственность за соблюдение применимых законов и за недопущение нарушения работы производственных систем.