ロック画面という「特権の谷間」 #
Windowsのログイン画面には、パスワードなしで呼び出せる支援機能がある。On-Screen KeyboardやNarratorだ。これらを裏で起動しているのが ATBroker.exe というプロセスで、常にSYSTEM権限で動作する。ここに目をつけた攻撃手法が、GitHubでエクスプロイトコードが公開された「RegPwn」(CVE-2026-24291、CVSS 7.8、Windows 11 25H2以前が対象)だ。
シンボリックリンクでレジストリを乗っ取る #
1. ロック画面から起動
ログイン前でも呼び出せる
On-Screen Keyboard を起動する。2. レジストリをすり替え
ATBrokerが読み書きするキーをシンボリックリンクで別の特権キーに差し替える。
3. SYSTEM権限で上書き
パス検証の甘さを突かれ、ATBrokerが本来触れないキーをSYSTEM権限で書き込む。
4. 任意コード実行
書き換えたキー経由でコードを実行させ、管理者権限を奪取する。
事前ログインも管理者パスワードも要らない。画面をロックしたままの端末に物理的にアクセスできれば成立してしまう手軽さが、この脆弱性を厄介にしている。
パッチ済みでも消えない侵入経路 #
注意
Microsoftは2026年3月の月例更新で修正済みだが、PoCが公開された今、未適用端末は攻撃者にとって格好の的になる。
初期アクセス直後の権限昇格フェーズは、ランサムウェアやレッドチームの攻撃チェーンで真っ先に狙われる工程だ。「支援機能はログイン前でも動く」という設計そのものが穴の起点になった今回のケースは、パッチ適用状況の棚卸しだけでなく、アクセシビリティ機能が持つ権限境界そのものを見直す必要性を突きつけている。
COMMENTS 0
No comments yet — be the first to leave one.