Обнаружена уязвимость в драйвере Windows CLFS, позволяющая рядовым пользователям вызывать «синий экран»

В сфере информационной безопасности вновь акцентировано внимание на критически важных компонентах операционной системы, которые могут стать инструментом для атак на доступность. Исследователи опубликовали рабочий эксплойт (Proof of Concept) для новой уязвимости в драйвере общей системы файлов журналов Windows (Common Log File System). Проблема, получившая идентификатор CVE-2026-2636, позволяет пользователю с обычными правами вызвать фатальный сбой системы, известный как «синий экран смерти» (BSoD), что классифицируется как атака на отказ в обслуживании. Хотя оценка по шкале CVSS составляет умеренные 5.5 баллов, практическое воздействие на бизнес-процессы может быть серьёзным, учитывая минимальный уровень привилегий, необходимых для эксплуатации.

Детали уязвимости

Обнаружение уязвимости стало побочным результатом более масштабной работы. Специалист анализировал драйвер "CLFS.sys" на предмет поиска уязвимостей, позволяющих выполнение произвольного кода (Remote Code Execution). Однако в ходе исследования выяснилось, что модификация определённых значений в цепочке потенциального эксплойта приводит не к захвату контроля, а к немедленному краху системы. Согласно отчёту компании Coresecurity, коренная причина кроется в некорректной обработке недопустимых элементов внутри драйвера, что соответствует общей слабости CWE-159.

Технический механизм уязвимости заключается в следующем. Когда пользователь выполняет команду "ReadFile", используя дескриптор открытого файла журнала с расширением ".blf", драйвер не может корректно обработать входящие данные. Конкретно сбой происходит из-за того, что внутренние процедуры драйвера ожидают наличия определённых флагов, таких как "IRP_PAGING_IO" или "IRP_INPUT_OPERATION", в структуре запроса ввода-вывода. В сценарии, реализованном в опубликованном PoC, эти флаги отключены. Это приводит драйвер в невосстановимое состояние, и для защиты целостности ядра операционная система Windows вызывает функцию "KeBugCheckEx", что мгновенно вызывает остановку с отображением BSoD.

Главная особенность и опасность данной уязвимости - отсутствие необходимости в правах администратора. Любой авторизованный пользователь на уязвимой машине, будь то рабочая станция или сервер, может инициировать её крах. Это создаёт значительный операционный риск для организаций. Злоумышленник изнутри сети или даже легитимный пользователь в результате ошибки может вызвать простои критически важных систем. Хотя уязвимость не позволяет похищать данные или повышать привилегии, возможность неоднократно выводить из строя инфраструктуру сама по себе является мощным дестабилизирующим фактором.

Важно отметить, что корпорация Microsoft уже устранила данную проблему. Исправление было тихо включено в накопительное обновление за сентябрь 2025 года. Таким образом, защищёнными являются такие актуальные версии, как Windows 11 2024 LTSC и Windows Server 2025. Между тем, более старые сборки, включая Windows 11 23H2, а также различные версии Windows 10, остаются уязвимыми, если указанное обновление не было установлено.

Для специалистов по кибербезопасности и системных администраторов данная новость служит ещё одним напоминанием о критической важности своевременного применения патчей. Рекомендации в данном случае однозначны: необходимо в кратчайшие сроки проверить и развернуть сентябрьские обновления 2025 года на всех системах под управлением Windows. Особое внимание следует уделить серверам и рабочим станциям, к которым есть доступ у широкого круга пользователей. В свою очередь, для комплексной защиты следует рассматривать данную уязвимость в контексте общей стратегии обеспечения доступности. Мониторинг аномальных событий, связанных с аварийным завершением работы систем, а также контроль за установкой обновлений с помощью инструментов управления исправлениями должны стать частью рутинных процедур. В конечном счёте, даже умеренная по формальным критериям уязвимость, эксплуатируемая с низких привилегий, способна нанести ощутимый ущерб бизнесу, подчеркивая необходимость строгого следования базовым принципам гигиены кибербезопасности.

Детали уязвимости

Ссылки