Команда Google Project Zero, специализирующаяся на поиске уязвимостей в продуктах Google и сторонних разработчиков, раскрыла новую проблему в тестовых версиях Windows 11. Речь идёт о возможности повышения привилегий, найденной в превью-сборках операционной системы. Уязвимость обнаружил исследователь Project Zero Джеймс Форшоу.
Он изучал функцию Administrator Protection — это ещё не вышедший в релиз механизм Windows 11, который должен выдавать администраторские права «по требованию», с подтверждением через Windows Hello и использованием изолированного токена. Идея — повысить безопасность, не раздавая админ-доступ.
Однако на практике оказалось, что в реализации есть брешь. По словам Форшоу, процесс с низкими привилегиями может перехватить UI-доступ другого процесса и за счёт этого получить права администратора. Иными словами, защита, которая должна ограничивать доступ, в определённом сценарии сама становится точкой входа.
Исследователь сообщил о проблеме Microsoft в частном порядке ещё 8 августа. По правилам Project Zero у вендора было 90 дней на исправление, до 6 ноября. Microsoft получила небольшую отсрочку и выпустила патч 12 ноября, оформив уязвимость как CVE-2025-60718 и поблагодарив Форшоу за находку.
На этом история могла бы закончиться, но не закончилась. Недавно Форшоу вновь открыл тикет, заявив, что исправление оказалось неполным и не устраняет проблему полностью. После этого, в соответствии с политикой Project Zero, информация об уязвимости была опубликована — тем более что Microsoft больше не выходила на связь по этому вопросу.
При этом паниковать не стоит. Речь идёт о локальном повышении привилегий: чтобы воспользоваться уязвимостью, злоумышленнику нужен физический доступ к устройству и возможность запускать на нём код. К тому же Administrator Protection доступна только в отдельных Insider-сборках Windows 11 и включается вручную. Массовых пользователей это пока не затрагивает.
Комментирует Сергей Хайрук, аналитик InfoWatch:
«В 2014 году мы отмечали повышенный интерес злоумышленников к платежным данным, которые обрабатываются в информационных системах ритейлеров. Теперь хакеры добрались и до онлайн-сервисов. Очевидно, в 2015 следует ожидать массовых атак на компании, оперирующие большим объемом платежных данных, но менее защищенные, чем кредитные организации. Это могут быть крупные туристические онлайн-сервисы, системы бронирования авиабилетов, национальные интернет-провайдеры, логистические компании».