CVE-2026-50382

Podatność untrusted pointer dereference w Windows DirectX umożliwiająca lokalne RCE

CVSS 8.8v3.1pub. 2026-07-14upd. 2026-07-22

Podatność klasy untrusted pointer dereference w komponencie Windows DirectX pozwala autoryzowanemu lokalnemu atakującemu na wykonanie dowolnego kodu. Wysoki wynik CVSS 8.8 oraz potencjalne przejęcie kontroli nad systemem czynią tę lukę poważnym zagrożeniem.

▸ Pokaż oryginał (EN)

Untrusted pointer dereference in Windows DirectX allows an authorized attacker to execute code locally.

🤖 Analiza AI

Jak działa

Błąd polega na tym, że komponent Windows DirectX odczytuje wartość wskaźnika z niezaufanego źródła i używa jej bez odpowiedniej weryfikacji (CWE-822). Lokalny użytkownik z podstawowymi uprawnieniami może dostarczyć spreparowane dane, które powodują odwołanie się systemu do kontrolowanego przez atakującego adresu w pamięci. Operacja ta przebiega w kontekście wykraczającym poza zakres uprawnień wywołującego (Scope: Changed), co umożliwia eskalację uprawnień i wykonanie kodu.

Skutki

Atakujący może uzyskać możliwość lokalnego wykonania kodu (RCE) z podwyższonymi uprawnieniami, potencjalnie przejmując pełną kontrolę nad zaatakowanym systemem — opisane oddziaływanie obejmuje pełne naruszenie poufności, integralności i dostępności.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — aktualizacja opublikowana przez Microsoft w ramach Patch Tuesday z dnia 2026-07-14, dostępna w Microsoft Update Catalog oraz przez Windows Update. Szczegóły pod adresem: https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50382

Kogo dotyczy

Microsoft Windows 10 1809, Windows 10 21H2, Windows 10 22H2, Windows 11 24H2, Windows 11 25H2

Uwagi

Data publikacji podatności: 2026-07-14 (Patch Tuesday). Wektor lokalny (AV:L) ogranicza możliwość zdalnego wykorzystania — atakujący musi posiadać lokalny dostęp do systemu z co najmniej podstawowymi uprawnieniami (PR:L).