🔨 CVE-2026-33825: BlueHammer

Microsoft Defender 权限提升漏洞

📌 概述

CVE-2026-33825 漏洞，绰号 "BlueHammer"，是 Microsoft Defender 威胁修复引擎中的一个严重的本地权限提升 (EoP) 缺陷。

🚨 严重影响： 它允许拥有最低权限的用户在完全修补的 Windows 10 和 11 系统上获得完整的 SYSTEM 级别访问权限。

发现时间： 该漏洞于 2026 年 4 月 7 日 被一位化名为 "Chaotic Eclipse" 的研究人员作为零日漏洞公开披露，早于 Microsoft 发布官方补丁。

📊 严重性详情 (CVSS v3.1)

🔍 技术分析：BlueHammer 攻击

该漏洞基于 Defender 恶意软件清理引擎中的 TOCTOU 竞态条件 (Time-of-Check to Time-of-Use)。

利用流程：

1️⃣ 触发
   └─ 攻击者放置一个 Defender 检测为恶意软件的文件

2️⃣ 暂停 (Oplock)
   └─ 当 Defender 启动修复（删除或隔离）时，
      利用程序使用 NTFS 机会锁 (oplock)
      在关键点暂停操作

3️⃣ 重定向
   └─ 在暂停期间，利用程序创建一个 NTFS 联接点 (junction point)，
      将 Defender 的路径重定向到关键系统文件
      （例如 C:\Windows\System32）

4️⃣ 执行
   └─ 释放锁定时，Defender（以 SYSTEM 权限运行）会写入
      或覆盖重定向位置中的文件
   └─ 结果：用恶意代码替换合法二进制文件
             或提取敏感文件（SAM、密码）

💻 受影响的系统和组件

🛠️ 修复与缓解措施

Microsoft 在 2026 年 4 月补丁星期二 修复了此漏洞。

✅ 1. 自动更新

与其他补丁不同，Microsoft Defender 的更新通常通过签名平台自动应用。

建议操作：

• 验证您的平台版本是否为 ≥ 4.18.26050.3011
• 启用 Defender 的自动更新

✅ 2. 安全验证

• 查阅 Microsoft 安全更新指南 以确认您系统的状态
• 使用 Nessus（插件 ID：306740）等漏洞扫描器识别网络中未修补的计算机
• 在您的基础设施中定期执行 Defender 版本审计

🔗 参考资料和资源

• 📄 详细技术分析 — Picus Security
• 🚨 早期预警 — INCIBE-CERT
• 📋 2026 年 4 月补丁摘要 — SecurityWeek
• 🔐 安全更新指南 — Microsoft 官方

⚖️ 免责声明

⚠️ 本文档仅供安全教育和研究之用。

切勿在未经明确授权的系统上运行漏洞利用程序。

未经授权使用利用技术是非法的，可能导致严重的法律后果。

最后更新： 2026 年 4 月 | 状态： 已修补 ✅