Вече е наличен публичен демонстрационен код (proof-of-concept) за експлоатиране на CVE-2026-47301 – критична уязвимост за отдалечено изпълнение на код, засягаща Microsoft Configuration Manager (SCCM).

Разкритата верига от уязвимости би могла да позволи на потребител в домейна с ниски привилегии да постигне изпълнение на код на ниво SYSTEM върху сървъра на основния сайт на Configuration Manager (Primary Site Server), създавайки сериозен риск от превземане на корпоративната мрежа.

Изследователят по сигурността Омри Басо публикува хранилище с демонстрационен код, което включва изходен код, проектни файлове, специално изготвен CAB архив и компилирана версия. Изследователят описва проблема като многостепенна верига от уязвимости, а не като единичен пропуск.

Според разкритието CVE-2026-47301 комбинира компрометиран контрол на достъпа, преминаване през директории (path traversal) по време на разархивиране на CAB файлове, възможности за произволен запис на файлове, заобикаляне на проверката на сертификати и DLL hijacking.

Заедно тези слабости могат да позволят на атакуващия да постави контролирани от него файлове в инсталационната директория на Configuration Manager и да накара привилегирована услуга на SCCM да ги зареди.

Атаката е насочена срещу услугата SMS_EXECUTIVE – основен компонент на SCCM, който се изпълнява с повишени привилегии. Публикуваното проучване посочва, че зловреден CAB файл може да бъде използван за записване на DLL файлове извън предвидената директория за разархивиране чрез последователности за преминаване през директории. Файловете в крайна сметка се поставят в директорията Configuration Manager bin\X64, откъдето услугата може да ги зареди. Експлойтът използва подход за проксиране на DLL, включващ adsource.dll и adsource_original.dll.

Злонамереният код (DLL) е проектиран да изпълнява кода на атакуващия, докато пренасочва очакваната функционалност към оригиналната библиотека, намалявайки вероятността от срив на услугата SCCM.

Изследователят отбелязва, че съответното зареждане на DLL може да се случва по периодичен график, което означава, че експлоатирането може да не даде незабавни видими резултати.

Успешната атака изисква идентифициране на сървъра на основния сайт на SCCM. Въпреки че тази информация може да не е директно публикувана в Active Directory, изследователят споделя, че тя може да бъде изведена чрез преглед на разрешенията в контейнера System Management. Акаунтите на компютри в домейна, на които са предоставени разрешения „Full Control“ или „GenericAll“ над този контейнер, могат да указват сървъри на Configuration Manager.

Публикуването на работещ демонстрационен код значително увеличава риска за организациите, които не са инсталирали корекциите за сигурност от Microsoft. SCCM сървърите са особено привлекателни цели, тъй като управляват разгръщането на софтуер, конфигурацията на крайните точки и административните операции в корпоративните Windows среди. Изпълнението на код на ниво SYSTEM на сървъра на основния сайт може да предостави на атакуващите мощна платформа за странично движение (lateral movement), разгръщане на зловреден софтуер, кражба на идентификационни данни или активност с рансъмуер.

Публикуваният демонстрационен CAB файл активира и променя вградения администраторски акаунт RID 500 като част от поведението на демонстрационния код. Защитниците трябва да разглеждат наличието на неочаквани промени в този акаунт, подозрителни DLL файлове в инсталационната директория на Configuration Manager или необичайна дейност, свързана с качване на CAB файлове, като индикатори с висок приоритет за разследване.

Организациите, използващи Microsoft Configuration Manager, трябва незабавно да прегледат съветите на Microsoft за CVE-2026-47301, да идентифицират уязвимите или неактуализирани сървъри на основни сайтове и да инсталират съответните корекции за сигурност. Администраторите трябва също така да ограничат достъпа до интерфейсите за управление на SCCM, да одитират разрешенията в контейнера System Management на Active Directory и да наблюдават услугата SMS_EXECUTIVE за необичайни събития по зареждане на DLL файлове. Публичната достъпност на експлойт кода превръща този проблем от рутинно управление на обновяванията в спешен въпрос за откриване и реагиране.