Foxit PDF Reader の権限昇格の脆弱性 CVE-2026-57239：SYSTEM 権限奪取の恐れ

Foxit PDF Reader Flaw Lets Local Attackers Gain SYSTEM Privileges via DLL Sideloading

2026/07/24 gbhacker — Foxit が公表した、PDF Reader の脆弱性 CVE-2026-57239 を悪用するコード実行権限を持つローカル攻撃者が、自身の権限を NT AUTHORITY\SYSTEM まで昇格させる可能性が生じている。その原因は、ProgramData ディレクトリ内のユーザー書き込みが可能なファイルによりトリガーされる、アップデーター・ワークフローの不適切かつ安全ではない処理にある。この脆弱性が影響を及ぼす範囲は、Foxit PDF Reader のバージョン 2026.2 未満である。

Foxit PDF Reader の欠陥

セキュリティ研究者 Luke Paris は、Process Monitor やリバース・エンジニアリング・ツールを使用して、Foxit の更新コンポーネントを調査し、この脆弱性を特定した。

この攻撃の前提として、すでに攻撃者が低権限の Windows ユーザーとしてコードを実行している必要がある。したがって、この脆弱性はリモート・コード実行 (RCE) ではなく、ローカル権限昇格に分類される。しかし、悪用に成功した攻撃者は、影響を受ける Windows ホストを完全に制御し、認証情報の窃取／セキュリティ・ツールの改竄／永続化などを達成し、ラテラル・ムーブメントの足掛かりを得る可能性がある。

この脆弱性は、NT AUTHORITY\SYSTEM 権限で動作する “FoxitPDFReaderUpdateService.exe” サービスに関連する。このサービスは、”C:\ProgramData\Foxit\Software\Foxit\PDF\Reader\FoxitData.txt” などのファイルを監視している。

標準ユーザーであっても、関連する ProgramData ディレクトリへの書き込みが可能である。したがって、カレント・ユーザーの AppData ディレクトリから “FoxitPDFReaderUpdater.exe” を起動させるための、細工された AES 暗号化済みの更新リクエストを、攻撃者は特権サービスに送信できる。

Foxit のアップデーターは、実行ファイル名と署名情報を検証するため、アップデーター・バイナリを単純に置き換えることはできないが、それを回避する有効なサイド・ローディング攻撃手法を、研究者たちは発見した。この手法では、アップデーターにグラフィカルな更新プロンプトを表示させ、そのインターフェイス内のリンクを操作することで、作業ディレクトリから悪意の “winspool.drv” ファイルをロードさせることが可能になる。

Windows の “.drv” ファイルは、DllMain を通じてコードを実行する Portable Executable モジュールであるため、この悪意のあるモジュールは、SYSTEM 権限で起動されたアップデーターのコンテキストで実行される。この PoC 攻撃チェーンに含まれるのは、書き込み可能な制御ファイル／予測可能なサービス動作／安全ではないモジュール読み込み条件などである。

Whole  SYSTEM shell(Source: Medium)
Whole  SYSTEM shell(Source: Medium)

研究者によると、ペイロードである “FoxitData.txt” は、ハードコードされた鍵を使用する AES 暗号化を採用し、UTF-16 リトル・エンディアン・エンコーディングを必要とする。したがって攻撃者は、特権で動作するアップデーター・フローを有効化するリクエストを構築できる。Foxit は、この問題をバージョン 2026.2 で修正したと報告している。

ユーザー組織にとって必要なことは、Foxit PDF Reader のバージョン 2026.2 以降へと速やかにアップデートすることだ。その上で、”%APPDATA%\Foxit\Software\Continuous\Addon\Foxit\PDF\Reader” 配下に不正な .dll／.drv ファイルが存在しないことをエンドポイントにおいて確認すべきである。さらに、防御担当者として監視すべきは、FOXIT SOFTWARE INC. により署名されていないプロセスによる “FoxitData.txt” への書き込み／Windows のプロセス作成イベント (Event ID 4688) ／異常なトークン関連アクティビティなどとなる。

AppLocker または Windows Defender Application Control によるアプリケーション制御ポリシーを実装することで、悪意のモジュール・ロードを制限し、DLL サイド・ローディングによるリスクを低減できる。

訳者後書：Foxit PDF Reader の脆弱性 CVE-2026-57239 について解説する記事です。この件は、ローカル環境で権限昇格が発生してしまう問題です。主な原因は、特権で動作する更新サービスが、誰でも書き込める ProgramData ディレクトリ内のファイルを監視していた点にあります。悪意のユーザーが暗号化された更新リクエストを送信すると、通常ユーザーの AppData 内からアップデーターが呼び出されてしまいます。さらに、その UI 上のリンク操作により、作業ディレクトリから外部ファイル “winspool.drv” が SYSTEM 権限で読み込まれてしまう、DLL サイド・ローディングの仕組みが重なったことで、権限の昇格につながってしまいます。ご利用のチームは、ご注意ください。よろしければ、Foxit での検索結果も、ご参照ください。