CVE-2026-47291

RCE przez integer overflow w Windows HTTP.sys (CVE-2026-47291)

CVSS 9.8v3.1pub. 2026-06-09upd. 2026-06-10

Podatność integer overflow w sterowniku HTTP.sys systemu Windows umożliwia nieuwierzytelnionemu atakującemu zdalne wykonanie kodu (RCE) przez sieć. Ze względu na brak wymogu uwierzytelnienia oraz pełne uprawnienia do systemu, podatność jest oceniana jako krytyczna (CVSS 9.8).

▸ Pokaż oryginał (EN)

Integer overflow or wraparound in Windows HTTP.sys allows an unauthorized attacker to execute code over a network.

🤖 Analiza AI

Jak działa

Błąd należy do kategorii CWE-122 (heap-based buffer overflow) oraz CWE-190 (integer overflow or wraparound). Atakujący wysyła specjalnie spreparowane żądania HTTP do komponentu HTTP.sys, wywołując przepełnienie liczby całkowitej, które prowadzi do przepełnienia bufora na stercie (heap). Umożliwia to nadpisanie pamięci procesu i wykonanie dowolnego kodu w kontekście jądra systemu operacyjnego. Podatność jest eksploitowalna zdalnie, bez uwierzytelnienia i bez interakcji użytkownika.

Skutki

Atakujący może zdalnie wykonać dowolny kod na poziomie jądra systemu Windows (kernel-mode RCE), uzyskując pełną kontrolę nad zaatakowanym hostem, w tym dostęp do poufnych danych, możliwość modyfikacji systemu oraz potencjalne lateral movement w sieci.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-47291. Do czasu wdrożenia poprawki rozważ ograniczenie dostępu sieciowego do usług korzystających z HTTP.sys (np. IIS, WinRM) za pomocą firewall.