AnyDesk零日漏洞允许本地攻击者触发拒绝服务

爱拍照的老李
爱拍照的老李

爱拍照的老李

2026年7月18日 09:00
湖北

在小说阅读器读本章

去阅读

导读

AnyDesk中披露的一个零日漏洞有可能允许本地攻击者通过利用远程访问软件的“发送支持信息”功能来触发拒绝服务（DoS）条件。漏洞编号为ZDI-26-401和ZDI-CAN-26645，由Trend Micro的零日倡议（ZDI）于2026年7月8日发布。

该漏洞影响 AnyDesk 安装，要求攻击者以低权限用户身份在目标 Windows 系统上执行代码。

虽然该漏洞本身不直接提供机密信息访问或代码执行，但它可能影响系统的可用性，这在使用 AnyDesk 进行远程管理、帮助台操作或无人设备管理的环境中是一个重大隐患。

根据ZDI的说法，问题出在应用程序的“发送支持信息”功能上。此功能旨在收集诊断数据，并协助用户向AnyDesk支持提交相关信息。

拥有低权限本地访问权限的攻击者可以创建一个文件系统连接，以控制服务写入文件的位置。通过利用这种行为，攻击者可以使服务在意想不到的位置创建任意文件。

Windows 连接点是重解析点，用于将访问从一个目录重定向到另一个路径。如果应用程序或特权服务在未充分验证最终目的地的情况下，跟随用户控制的连接，攻击者可能会将文件操作重定向到预期目录之外。

以CVE-2026-15682为例，这种任意的文件创建能力可以用来在受影响系统上创建拒绝服务状态。ZDI尚未披露更多技术细节、概念验证代码或具体文件目标，可能是为了降低即时被利用的风险。

利用还需要高度的攻击复杂性，这意味着攻击者必须满足特定的环境或文件系统条件。一旦攻击者获得了必要的本地代码执行立足点，用户无需再进行任何操作。

SiDi的研究员Giuliano Sanfins（0x\_alibabas）通过ZDI向AnyDesk报告了这一问题。披露过程持续了一年多。

AnyDesk 支持在 2025 年 9 月向安全团队承认已升级，但随后在 12 月表示问题超出其职责范围。2026年6月26日，ZDI通知供应商，计划将该通告作为零日发布。

披露时，ZDI报告称尚无厂商补丁或变通方案。该建议指出，唯一有效的缓解措施是限制与该产品的相互作用。

漏洞公告：

https://www.zerodayinitiative.com/advisories/ZDI-26-401/

新闻链接：

https://gbhackers.com/anydesk-zero-day-flaw/

扫码关注

军哥网络安全读报

讲述普通人能听懂的安全故事