一个存在了几十年的系统架构设计，正在被证明是本地提权的完美通道。卡巴斯基安全研究员海达尔·卡比博（Haidar Kabibo）今年4月在黑帽亚洲大会（Black Hat Asia 2026）上展示了名为PhantomRPC的攻击技术——它不需要内存破坏，不需要复杂利用链，只需要Windows自己提供的合法接口。

更意外的是：微软去年9月就收到了报告，最终定性为"中等严重"，没有分配漏洞编号，也没有修复计划。

打开网易新闻 查看精彩图片

这不是代码写错了，是设计本身有问题

PhantomRPC的核心缺陷藏在rpcrt4.dll里——Windows RPC运行时处理"连不上服务器"的方式。

当高权限进程尝试调用一个离线或被禁用的RPC服务时，运行时不会验证响应者是否合法。攻击者只需在低权限进程（如NT AUTHORITY\NETWORK SERVICE账户）中部署一个伪造服务器，就能截获这些调用。

关键一步：RpcImpersonateClient接口（远程过程调用客户端模拟接口）。当高权限客户端以高模拟级别连接伪造端点时，攻击者调用该接口即可直接获取客户端的安全上下文——从低权限服务账户跃升至SYSTEM或Administrator。

卡比博团队梳理了五条具体攻击路径，全部基于这一机制。没有堆溢出，没有UAF，纯粹是架构层面的信任缺失。

正方：微软的"中等严重"评级有道理吗

微软安全响应中心（MSRC）的回应逻辑很清晰：攻击需要SeImpersonatePrivilege权限，而Network Service和Local Service账户默认就持有该权限。换句话说，这不是"从无到有"的突破，而是"从有到滥用"的延伸。

这个视角下，漏洞的利用前提已经框定了攻击面——你需要先拿到服务账户的控制权。对于普通用户账户，这条路走不通。

微软选择不分配CVE、不排期修复，本质上是在说：这是已知风险范畴内的行为，不是需要紧急修补的边界突破。

反方：默认权限=可利用，这本身就是问题

卡巴斯基的反驳直指评级标准的错位。SeImpersonatePrivilege确实不是最高权限，但它广泛存在于IIS应用池、SQL Server服务、Windows Update组件等高频攻击目标中。

攻击者拿到服务账户的场景并不罕见：Web漏洞利用、配置错误、第三方组件漏洞——这些入口每天都在真实环境中发生。PhantomRPC提供的不是"突破边界"，而是"突破后快速提权"的标准化路径。

更关键的是架构层面的不可修复性。RpcImpersonateClient是Windows身份验证模型的核心机制，大量合法软件依赖它工作。微软如果强行修补，可能破坏兼容性；如果不修补，这个通道永远敞开。

「没有CVE，没有修复时间表」——卡巴斯基报告中的这句话，被安全社区广泛引用。它暗示了一种评估盲区：当漏洞根植于设计而非实现时，传统的漏洞响应流程可能直接失效。

判断：为什么这件事值得持续跟踪

PhantomRPC的真正价值不在技术新颖度，而在它揭示的系统性困境。

Windows RPC runtime的设计年代可以追溯到NT时代。当时的安全模型假设"网络边界可信"，服务账户隔离是主要防御手段。三十多年后，这个假设在横向移动、供应链攻击、云服务多租户场景下已经崩塌，但底层代码的修改成本极高。

微软的"不修复"决策，某种程度上是技术债务的显性化。这不是第一次——2021年的PrintNightmare、2023年的ACL漏洞都涉及类似的两难。区别在于，PhantomRPC的攻击面更底层，影响范围覆盖"所有Windows版本"。

对于防御者，卡巴斯基已经开源了完整的审计工具集，托管在PhantomRPC GitHub仓库。组织可以自行扫描环境中可被利用的RPC调用模式——这是当前唯一可行的缓解措施。

对于攻击者研究社区，PhantomRPC提供了一套可复用的提权模板。五条攻击路径的公开，意味着未来几个月可能出现更多变种利用。

建议行动：如果你负责Windows环境的威胁建模，把PhantomRPC纳入"已获取服务账户后"的攻击链分析；如果你管理安全产品，关注RPC流量中的异常端点注册行为；如果你是普通用户——这件事暂时影响不到你，但它解释了为什么企业安全团队最近又在紧急开会。