Luka w pamięci RAM pozwala ominąć zabezpieczenia Windows 11. Wystarczy oprogramowanie

Badacze z University of Birmingham i Durham University odkryli lukę w niektórych modułach pamięci DDR4 i DDR5, która pozwala ominąć zabezpieczenia Windowsa 11 przy użyciu samego oprogramowania. Warto wspomnieć, że wcześniej podobny atak wymagał fizycznego dostępu do komputera.

Problem dotyczy układu konfiguracyjnego znajdującego się w części konsumenckich modułów RAM. Przekazuje on komputerowi informacje dotyczące zainstalowanej pamięci, ale w podatnych modułach dane nie są odpowiednio zabezpieczone przed zapisem. Złośliwe oprogramowanie może więc zmodyfikować konfigurację i doprowadzić do sytuacji, w której Windows uzna, że komputer ma dwukrotnie więcej RAM niż w rzeczywistości.

Jak działa luka

Na pierwszy rzut oka nie brzmi to szczególnie groźnie, jednak dodatkowe adresy pamięci mogą stać się aliasami rzeczywistych obszarów RAM. Atakujący otrzymuje wtedy możliwość odczytywania i modyfikowania danych znajdujących się w pamięci, która w normalnych warunkach powinna pozostawać chroniona przez system operacyjny oraz procesor.

Badacze z University of Birmingham i Durham University odkryli lukę w niektórych modułach pamięci DDR4 i DDR5, która pozwala ominąć zabezpieczenia Windowsa 11 przy użyciu samego oprogramowania. Warto wspomnieć, że wcześniej podobny atak wymagał fizycznego dostępu do komputera.

Badacze pokazali, że technika pozwala ominąć między innymi Virtualization-based Security oraz Hypervisor-Enforced Code Integrity. Możliwe było również wyłączenie programu antywirusowego i oprogramowania EDR, ponowne uruchomienie podatnych sterowników wcześniej zablokowanych ze względów bezpieczeństwa, zaatakowanie odpowiednio zabezpieczonych komputerów firmowych, a nawet obejście działających na poziomie jądra systemu zabezpieczeń anti-cheat stosowanych w grach.

Szczególnie niepokojący jest przygotowany przez naukowców skrypt, który automatyzuje cały proces. Może utworzyć odpowiednie aliasy pamięci, ponownie uruchomić komputer i wyłączyć program antywirusowy bez dalszej ingerencji użytkownika.

Jakie pamięci są zagrożone

Według badaczy przynajmniej po jednej linii konsumenckich pamięci Corsair, G.Skill oraz ADATA wykorzystuje układ konfiguracyjny pozbawiony odpowiedniej ochrony przed zapisem. Są to przy tym duzi producenci obecni szczególnie mocno na rynku wydajnych zestawów RAM przeznaczonych dla graczy.

W porównaniu z klasycznymi atakami wymagającymi fizycznego dostępu do modułów pamięci „Download More RAM” jest groźniejszy przede wszystkim dlatego, że wykorzystanie podatności może odbywać się zdalnie.

Reakcja Microsoftu

Microsoft został poinformowany o problemie przed publikacją wyników badań i przypisał mu oznaczenie CVE-2026-23670. Firma wprowadziła zabezpieczenia już w kwietniowych aktualizacjach Windows z 2026 roku. Według dostępnych informacji komputery z aktywnym Secure Boot są chronione. Użytkownik powinien więc sprawdzić, czy Secure Boot jest włączony, oraz zainstalować najnowsze sierpniowe aktualizacje Windowsa.

Corsair dodał również do iCUE możliwość włączenia ochrony zapisu w podatnych modułach, podobną funkcję dla pamięci innych producentów oferuje HWiNFO, a część płyt głównych pozwala zastosować odpowiednie zabezpieczenie w BIOS-ie.