文章总结： CVE-2026-66804是Windows跨设备服务中的权限提升漏洞，普通用户可通过创建缺失的ProgramData目录并植入恶意DLL获取SYSTEM权限。PoC已公开，微软已在2026年8月补丁中修复。建议立即安装更新并监控异常DLL文件。 综合评分： 79 文章分类： 漏洞分析,渗透测试,红队,内网渗透,应急响应

CVE-2026-66804：概念验证（PoC）利用代码通过跨设备服务获取 SYSTEM 权限

sec随谈 sec随谈

sec随谈

2026年8月18日 13:15 北京

在小说阅读器读本章

去阅读

摘要

微软修复了 CVE-2026-66804，这是 Windows 跨设备服务（Cross Device Service）中的一个权限提升漏洞。普通本地用户可以通过一种”路径缺失”式的 DLL 植入手法获取 SYSTEM 权限。目前完整的技术细节及概念验证（PoC）利用代码均已公开。微软将该漏洞评级为”重要”（Important），CVSS 评分为 7.8。

为何重要

SYSTEM 是 Windows 系统中的最高权限级别。这一 CVE-2026-66804 漏洞使得普通用户也能获得该权限，因此任何已在系统中获得立足点的攻击者都能借此实现完全控制。

微软已在 2026 年 8 月的”补丁星期二”中发布了修复补丁。研究人员 Daniel Wade（网名 nadsec）公开了该漏洞的详细披露信息，这意味着防御方现在能够获取到公开的、可实际运作的利用细节。

攻击原理

Windows 会将跨设备虚拟摄像头的 COM 服务器注册在一个 ProgramData 路径下。在全新安装的 Windows 11 系统中，这一注册项在其对应的支撑文件夹被创建之前就已经存在。

普通用户随即可以创建这个缺失的 C:\ProgramData\CrossDevice 目录，接着在 COM 服务器所期望的位置植入一个恶意 DLL 文件。当虚拟摄像头启动时，Windows 摄像头帧服务器（Camera Frame Server）便会以 LOCAL SERVICE 身份加载这个恶意 DLL。

该服务令牌携带 SeImpersonatePrivilege 权限，因此一条类似 GodPotato 的利用链便能将这一权限转化为完整的 SYSTEM 令牌。需要指出的是，这是一个”路径缺失”类问题，而并非对受保护的微软官方 DLL 文件进行覆写。

受影响版本

该研究人员在 Windows 11 Pro 25H2（版本号 26200.8524）上验证了此漏洞。触发该漏洞的前提条件是：HKLM 中存在 CrossDevice 的 COM 注册项，而对应的目标 ProgramData 路径尚不存在。

若系统中该 DLL 文件已经存在且拥有受保护的权限设置，则无法通过这种植入手法加以利用。微软将此问题列入了 2026 年 8 月修复的数百个漏洞之中。

补丁与缓解措施

首先，请立即安装 2026 年 8 月发布的 Windows 安全更新。微软针对 CVE-2026-66804 发布的官方安全公告已确认该补丁及受影响的产品范围。

在完成打补丁之前，应限制共享设备上的本地访问权限，同时应监控 ProgramData 相关路径下是否出现意外的 DLL 文件。完整的概念验证代码及技术分析报告已发布在该研究人员的公开代码仓库中。

目前尚未确认存在针对此特定 CVE 的野外利用活动，但公开的 PoC 代码依然凸显了立即打补丁的紧迫性。

参考链接：

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-66804

https://github.com/Rat5ak/CVE-2026-66804-CrossDevice-Service-EoP

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：sec随谈 sec随谈 sec随谈《CVE-2026-66804：概念验证（PoC）利用代码通过跨设备服务获取 SYSTEM 权限》