这是对 VoidSec 公开技术分析 CVE-2026-40369 的改写和总结，添加了流程图和防御笔记，以便我自己理解。 所有核心技术细节均来自他的研究。我并未对此漏洞进行独立的逆向工程。

CVE-2026-40369：关于 12 字节 Windows 内核递增加载原语的防御分析

一项关于 CVE-2026-40369 的防御性技术分析，这是一个 Windows 内核权限提升漏洞，通过 NtQuerySystemInformation（信息类 0xFD / 253）提供了一个受限的 12 字节加法写入原语。

本报告重点关注利用约束条件、根本原因分析和防御影响，而非武器化利用。

概述

CVE-2026-40369 允许攻击者在以信息类 253 和零长度缓冲区调用 NtQuerySystemInformation 时，对内核内存中的三个相邻 DWORD 执行加法写入操作。虽然受限，但该原语在目标选择得当的情况下可被用于 KASLR 绕过和权限提升。

本分析涵盖：

• 探针绕过及非返回长度检查的根本原因重建
• 12 字节加法写入原语及其约束条件的详细分解
• Feature_RestrictKernelAddressLeaks KASLR 绕过技术的数学分析
• 公开记录的利用路径回顾（WIL 功能状态 + 替代读取原语方法）
• 来自公开 PoC 代码的构建特定偏移量目录
• 防御性检测和加固建议

关键要点

• 对 WIL 功能状态字节操纵的 精确算术分析（0x57 → 0x10）
• 在禁用内核指针泄漏缓解措施时，掩码条件 与 精确字节 目标之间的清晰区分
• 来自公共利用仓库的偏移量的负责任目录
• 重点聚焦 利用约束，而非利用步骤
• 针对检测和缓解的防御性建议