🔍 Contexte

Publié le 01/11/2026 sur GitHub (dis0rded0x00/TrustedHive), cet article est un rapport de divulgation technique décrivant une vulnérabilité d’élévation de privilèges locale sur Windows 11 et Windows Server 2025, suspectée d’être couverte par CVE-2026-81963.

🧩 La vulnérabilité

Le composant Component Based Servicing (CBS), exécuté dans TrustedInstaller.exe en tant que SYSTEM, expose une interface COM activable par tout utilisateur interactif. La quasi-totalité des méthodes de cette interface appellent EnsureCallerIsAdministrator, à l’exception de CreateExternalTransformerExecutor, qui retourne un exécuteur de transformation CSI sans aucune vérification d’autorisation.

La méthode Initialize() de cet exécuteur s’exécute en tant que SYSTEM sans impersonation. Un appelant à intégrité moyenne (medium-IL) peut exploiter des jonctions NTFS et des liens symboliques object-manager (ne nécessitant aucun privilège spécial) pour forcer TrustedInstaller à créer un fichier journal de ruche de registre à un chemin contrôlé par l’attaquant.

🎯 Impact

  • Écriture arbitraire de fichiers dans tout répertoire existant (y compris C:\Windows\System32) en tant que SYSTEM
  • Depuis un compte utilisateur normal, non-administrateur, sans interaction utilisateur
  • Aucun privilège spécial requis

🖥️ Versions affectées

  • Windows 11 (23H2, 24H2, 25H2, 26H1)
  • Windows Server 2025 (tous les builds antérieurs au cumulative update du 8 septembre 2026)

📅 Timeline de divulgation

  • 22 juillet 2026 : Rapport soumis au MSRC
  • 8 septembre 2026 : Microsoft corrige la servicing stack (Patch Tuesday septembre 2026)
  • 29 octobre 2026 : Réponse du MSRC (sévérité Low / Defense in Depth, cas fermé, aucun CVE attribué, aucune prime)

🔗 CVE suspecté

Le chercheur suspecte que sa découverte est couverte par CVE-2026-81963 (“Windows Update Stack Elevation of Privilege Vulnerability”), classé CWE-59 / CWE-284, crédité à Romain Deperne (Airbus Helicopters) et Microsoft Threat Intelligence Center (MSTIC), et confirmé comme activement exploité dans la nature avant le patch. Un autre vecteur d’exploitation (sideloading de dpx.dll via EvaluateApplicability) sous le même CVE est documenté par Fortra/Core Security.

🛠️ PoC disponibles

  • PoC_Fun/ : Interface graphique (.NET 8, Windows), à exécuter en tant qu’utilisateur standard
  • PoC_Boring/ : Fichier C standalone, compilé avec MSVC, sans dépendances au-delà de ole32.lib et advapi32.lib

📄 Type d’article

Il s’agit d’une publication de recherche / divulgation technique avec PoC public, visant à documenter une vulnérabilité d’élévation de privilèges locale patchée, et à contester l’évaluation du MSRC.

🧠 TTPs et IOCs détectés

TTP

  • T1068 — Exploitation for Privilege Escalation (Privilege Escalation)
  • T1574.010 — Hijack Execution Flow: ServicesFile Permissions Weakness (Privilege Escalation)
  • T1134 — Access Token Manipulation (Privilege Escalation)
  • T1222.001 — File and Directory Permissions Modification: Windows File and Directory Permissions Modification (Defense Evasion)
  • T1548 — Abuse Elevation Control Mechanism (Privilege Escalation)

IOC

  • CVEs : CVE-2026-81963 — NVD · CIRCL
  • Fichiers : TrustedHive.exe
  • Fichiers : TrustedHive_PoC.c
  • Fichiers : TrustedHive_BoringPoC.exe
  • Fichiers : dpx.dll
  • Chemins : C:\Windows\System32

⚠️ À propos de ces IOC — ils sont extraits automatiquement de l’article original le 3 novembre 2026 et n’ont pas fait l’objet d’une vérification externe. Un indicateur peut avoir été réattribué depuis : une IP de C2 peut redevenir un service légitime, un domaine sinkholé peut changer de propriétaire. Aucune garantie d’exactitude ni d’actualité — contrôlez leur validité avant tout usage opérationnel, en particulier avant de les injecter dans une blocklist ou un SIEM.

Malware / Outils

  • TrustedHive (tool)

🟡 Indice de vérification factuelle : 45/100 (moyenne)

  • ⬜ github.com — source non référencée (0pts)
  • ✅ 5662 chars — texte complet (fulltext extrait) (15pts)
  • ✅ 6 IOCs (IPs/domaines/CVEs) (10pts)
  • ⬜ pas d’IOC vérifié (0pts)
  • ✅ 5 TTPs MITRE identifiées (15pts)
  • ⬜ date RSS ou approximée (0pts)
  • ⬜ aucun acteur de menace nommé (0pts)
  • ✅ 1/1 CVE(s) confirmée(s) (CIRCL) (5pts)

🔗 Source originale : https://github.com/dis0rder0x00/TrustedHive