CVE-2026-22165: UAF in GPU DDK 1.18.0–26.1 RTM

此 UAF 漏洞允许攻击者通过精心构造的 WebGPU 内容触发 GPU GLES 渲染进程中的崩溃。更严重的是，如果执行图形工作负载的进程具有系统权限，攻击者可能利用此崩溃来执行任意代码，从而获得对设备的控制权。攻击者可能窃取敏感数据，安装恶意软件，或完全控制受影响的设备。虽然目前没有公开的利用代码，但该漏洞的潜在影响非常严重，尤其是在设备具有系统权限的情况下，例如在某些嵌入式系统或工业控制系统中。此漏洞的严重性类似于其他 UAF 漏洞，攻击者可以利用它来绕过安全措施并执行未经授权的操作。

1. 发布日期2026-05-01
2. EPSS 更新日期2026-05-09

缓解此漏洞的首要措施是升级到 GPU DDK 24.2.1 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制 WebGPU 内容的来源，只允许来自受信任来源的内容。实施严格的输入验证，以防止恶意 WebGPU 内容的加载。监控系统日志，查找与 GPU GLES 渲染进程相关的异常崩溃或错误。在某些情况下，可以尝试调整 GPU GLES 渲染进程的权限，以减少潜在的攻击面。升级后，请验证新版本是否已成功安装并解决了漏洞，可以通过检查 GPU DDK 版本号来确认。