Trei vulnerabilități noi pun în pericol utilizatorii Windows. Atacatorii pot obține privilegii de sistem chiar și pe computere actualizate

Cercetătorii în securitate cibernetică au identificat cel puțin trei vulnerabilități care pot permite atacatorilor să obțină privilegii de sistem chiar și pe computere cu Windows care au instalate actualizările de securitate. Printre acestea se numără un exploit al configurației memoriei, denumit Download More RAM, vulnerabilitatea zero-day ShieldBreak și un atac de tip plug and pwn care poate permite instalarea de malware de la distanță prin RDP.

Trei vulnerabilități noi pun în pericol utilizatorii Windows

Vulnerabilitatea Download More RAM a fost prezentată la USENIX Security Symposium 2026, desfășurat la Baltimore, și a fost descoperită de cercetători de la University of Birmingham și Durham University, conform Techspot.

Problema poate permite ocolirea mecanismelor de securitate din Windows 11 și obținerea privilegiilor de sistem fără ca atacatorul să aibă acces fizic la dispozitiv. Exploitul profită de lipsa protecției la scriere a unor module de memorie destinate consumatorilor.

Atacatorii pot modifica de la distanță cipul Serial Presence Detect, componenta care transmite computerului informații despre cantitatea de memorie RAM instalată. Prin rescrierea acestor date, sistemul poate fi făcut să creadă că dispozitivul are de două ori mai multă memorie RAM decât în realitate.

Informațiile false determină controlerul de memorie să aloce adrese virtuale suplimentare care se suprapun peste adrese reale. Aceste aliasuri pot fi folosite pentru crearea unei căi de acces ascunse către memorie, prin ocolirea mecanismelor de securitate și control al accesului utilizate de sistemul de operare și procesor.

Consecințele pot fi importante. Vulnerabilitatea poate permite reactivarea unor drivere vechi care conțin vulnerabilități cunoscute, dezactivarea software-ului antimalware, accesarea enclavelor protejate de mecanismele de securitate bazate pe virtualizare, modificarea setărilor de administrare a dispozitivelor din companii și ocolirea sistemelor de protecție la nivel de kernel folosite de jocurile video.

Profesorul Tom Chothia de la University of Birmingham a precizat că atacul necesită doar un script care poate fi transmis de la distanță. Atacuri similare din trecut necesitau acces fizic la computer.

Printre producătorii importanți de memorii care comercializează cel puțin o gamă de produse cu un cip de configurare neprotejat se numără Corsair, G.Skill și ADATA. Acest lucru contravine recomandărilor JEDEC.

Vulnerabilitatea este identificată prin codul CVE-2026-23670 și a fost recunoscută atât de Microsoft, cât și de Corsair. Microsoft a introdus măsuri de atenuare în actualizarea din aprilie 2026.

La rândul său, Corsair a adăugat în instrumentul de administrare hardware iCue o funcție prin care utilizatorii pot activa protecția la scriere pentru modulele DIMM. Aplicația de diagnosticare pentru PC HWiNFO a introdus aceeași funcție și pentru utilizatorii care nu folosesc memorii Corsair.

O altă problemă identificată de cercetători este vulnerabilitatea zero-day ShieldBreak

O altă problemă identificată de cercetători este vulnerabilitatea zero-day ShieldBreak, descoperită de cercetătorul independent Nightmare Eclipse.

Aceasta este urmărită sub codul CVE-2026-50656 și reprezintă o vulnerabilitate de escaladare a privilegiilor în Microsoft Defender. Exploitul poate ocoli patch-ul RoguePlanet și permite atacatorilor să obțină privilegii de sistem.

Vulnerabilitatea afectează Windows 10, Windows 11 și Windows Server. Pentru ca exploitul să funcționeze, Microsoft Defender trebuie să fie activ pe dispozitiv.

Cea de-a treia vulnerabilitate este un atac denumit plug and pwn

Cea de-a treia vulnerabilitate a fost prezentată de cercetătorii Alejandro Hernando și Borja Martinez. Atacul, denumit plug and pwn, exploatează procesul automat prin care Windows identifică componentele hardware și instalează drivere.

Prin această metodă, atacatorii pot determina instalarea unor pachete de drivere semnate de producători, care primesc privilegii la nivel de sistem.

Problema este că exploatarea nu necesită privilegii de administrator și nici existența unui utilizator conectat la dispozitiv.

Cercetătorii au prezentat vulnerabilitatea la DEF CON 34, în Las Vegas. În cadrul demonstrației de tip proof-of-concept, aceștia au arătat că atacul poate fi realizat și de la distanță, prin RDP, fără conectarea fizică a vreunui dispozitiv USB la computerul țintă.