PT-2026-7395 · Microsoft · Windows Storage+1

Oscar Zanotti Camp · Publicado 2026-02-10 · Atualizado 2026-03-31 · CVE-2026-21508

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.0

Alta

Vetor base

AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Windows (versões afetadas não especificadas)

Descrição Um problema de autenticação inadequada no Windows Storage pode permitir que um atacante eleve privilégios localmente. O problema envolve forçar um processo do sistema que utiliza a função não documentada Windows Storage! SHCoCreateInstance a criar um objeto COM arbitrário. Isso é conseguido manipulando o primeiro argumento de uma chamada CoCreateInstance. A vulnerabilidade requer que o objeto COM esteja associado a uma classe COM registrada que suporte CLSCTX INPROC SERVER.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

LPE

Improper Authentication

Untrusted Search Path

Enumeração de Fraquezas

CWE-287

CWE-426

Identificadores relacionados

BDU:2026-01809

CVE-2026-21508

Produtos afetados

Windows

Windows Storage

Referências · 14

• 🔥 https://github.com/0xc4r/CVE-2026-21508_POC · Exploit
• http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-21508 · Nota de Segurança
• https://reddit.com/r/SecOpsDaily/comments/1s8pyog/micropatches_released_for_windows_storage · Publicação no Reddit
• https://bdu.fstec.ru/vul/2026-01809 · Nota de Segurança
• https://twitter.com/0patch/status/2038992101401116980 · Publicação no Twitter
• https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-21508 · Aviso do Fabricante
• https://twitter.com/BlckC0d3/status/2022637480411881863 · Publicação no Twitter
• https://osv.dev/vulnerability/CVE-2026-21508 · Aviso do Fabricante
• https://reddit.com/r/SecOpsDaily/comments/1s8uzyk/secopsdaily_20260331_roundup · Publicação no Reddit
• https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-21508 · Aviso do Fabricante
• https://twitter.com/co11ateral/status/2022243321666547943 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-21508 · Nota de Segurança
• https://twitter.com/autumn_good_35/status/2039000261738602847 · Publicação no Twitter
• https://t.me/cveNotify/151849 · Publicação no Telegram