Win11新攻击曝光：不物理接触，利用内存缺陷绕过安全防护

Win11新攻击曝光：不物理接触，利用内存缺陷绕过安全防护

8月14日消息，科技媒体 NeoWin 昨日（8月13日）发布博文，报道称本周在巴尔的摩（Baltimore）举办的 2026年USENIX 安全研讨会上，安全专家披露 Download More RAM 攻击，可以在不接触设备的情况下入侵 Windows 11 系统。

该攻击由来自英国伯明翰大学与杜伦大学的安全研究团队发现，攻击者无需物理接触目标设备，利用软件触发的内存缺陷，绕过 Windows 11 安全防护。

在技术原理方面，该问题出现在部分 DDR4 和 DDR5 DIMM（双列直插式内存模块）配置内存芯片上，由于缺少写保护，软件因此可以改写芯片内保存的信息，并让 Windows 误判系统内存容量为实际容量的 2 倍。

安全风险方面，错误报告内存容量表面来看风险有限，不过研究人员利用额外出现的内存地址，设置真实内存位置别名，从而借此读取或修改本应由 Windows 与处理器保护的内存区域。

在影响方面，研究人员通过该技术绕过 Virtualization-based Security（基于虚拟化的安全）、Hypervisor-Enforced Code Integrity（虚拟机监控程序强制执行的代码完整性）等多项 Windows 安全机制。4分贝附上相关截图如下：
  在实际攻击场景下，研究人员可以利用该漏洞禁用杀毒软件，攻陷处于锁定状态的企业系统，以及绕过内核级游戏反作弊防护等。团队还制作了一个一键脚本。该脚本可串联攻击流程，包括创建内存别名、重启机器，以及在无需后续用户交互的情况下禁用杀毒软件。

研究人员发现，美商海盗船（Corsair）、芝奇（G.Skill）与威刚（ADATA）各自至少有 1 条消费级内存产品线的配置芯片存在风险。

修复方面，微软在研究公开前已收到通知，并为该问题分配编号 CVE-2026-23670。微软随后在 2026年4月安全更新中加入缓解措施。因此，启用 Secure Boot  安全启动（安全启动）的系统可防御该攻击当前形态。

用户应确认 Secure Boot 已启用，并安装最新的 2026年8月Windows Patch Tuesday 累积更新，覆盖 Windows 10 与 Windows 11。Corsair 已在 iCUE 软件中加入选项，可为受影响模块启用写保护。

参考
Attackers can bypass Microsoft's flagship Windows security defences without physical access
Download More RAM: Dismantling Windows Operating System Defences with Mischievous Memory