Microsoft закрыла уязвимость CVE-2026-68820 в системном драйвере Windows AFD.sys. Ошибка позволяет локальному пользователю с ограниченными правами повысить привилегии до SYSTEM. К моменту выхода исправления уязвимость уже использовали в реальных атаках.
Что известно о CVE-2026-68820
Уязвимость обнаружена в Windows Ancillary Function Driver for WinSock — системном драйвере AFD.sys, который работает в режиме ядра и участвует в обработке сетевых сокетов Windows.
Проблема относится к классу use-after-free (CWE-416): при определённых условиях драйвер может обратиться к области памяти после её освобождения. Microsoft оценила уязвимость в 7,0 балла по CVSS 3.1 и присвоила ей уровень важности Important.
Для эксплуатации атакующему уже нужен локальный доступ к системе с небольшим набором привилегий. Он может запустить специально подготовленное приложение, которое создаёт состояние гонки в AFD.sys. Взаимодействие с пользователем при этом не требуется.
При успешной атаке можно получить права SYSTEM — максимальный уровень привилегий для процессов в Windows. Поэтому CVE-2026-68820 в первую очередь полезна как следующий этап после первоначального проникновения в систему, а не как способ удалённо атаковать машину через сеть.
Откуда берётся use-after-free
Более подробное описание опубликовала Check Point Research, исследователи которой обнаружили уязвимость во время анализа реальной атаки.
AFD.sys хранит состояние, связанное с сетевым сокетом. При одновременной работе нескольких потоков два участка кода драйвера могут обратиться к этому состоянию без необходимой синхронизации. Возникает гонка: один поток освобождает память, пока другой продолжает с ней работать.
В результате появляется use-after-free. По данным исследователей, эксплуатация ошибки позволяет получить примитив чтения и записи памяти ядра и затем повысить привилегии до SYSTEM.
Уязвимость уже использовала Lazarus
CVE-2026-68820 была уязвимостью нулевого дня: злоумышленники применяли её ещё до выхода исправления.
Check Point Research связала эксплуатацию с группировкой Lazarus в рамках кампании Operation Dream Job. Атакующие распространяли вредоносное ПО под видом материалов, связанных с вакансиями, и после первоначального заражения использовали CVE-2026-68820 для локального повышения привилегий.
В исследованных атаках эксплойт позволял запускать с правами SYSTEM модуль FudModule — руткит, работающий на уровне ядра. Исследователи наблюдали эксплуатацию уязвимости как минимум с начала июля 2026 года.
Check Point сообщила о проблеме Microsoft 28 июля. Компания подтвердила ошибку 31 июля, 5 августа ей присвоили идентификатор CVE-2026-68820, а 11 августа исправление вошло в очередной набор обновлений безопасности Windows.
Какие системы затронуты
Уязвимость присутствует в нескольких поколениях Windows. В списке затронутых систем указаны различные выпуски Windows 10 и Windows 11, а также Windows Server 2012, 2012 R2, 2016, 2019, 2022 и 2025.
Microsoft выпустила исправления в рамках августовского обновления безопасности. Учитывая подтверждённую эксплуатацию, CISA также внесло CVE-2026-68820 в каталог Known Exploited Vulnerabilities.
Для администраторов вывод достаточно прямой: системы, для которых доступны августовские исправления Microsoft, стоит обновить в приоритетном порядке. Особенно это касается рабочих станций и серверов, где компрометация учётной записи с ограниченными правами может стать промежуточным этапом атаки.
Продолжить разбираться в теме системной безопасности можно на бесплатных уроках:
-
18 августа, 20:00. «Безопасный релиз на практике: SAST, SCA, контейнеры и security gates». Записаться
-
20 августа, 20:00. «Средства защиты в ядре Linux». Записаться
Источник: habr.com