SteamにゼロクリックRCEなど6件の脆弱性、Atredisが調査結果公開
Atredis Partnersは2026年10月28日、Windows版Steamで見つかった6件の脆弱性の調査結果を公開した。すべてValveのHackerOneプログラムに報告済み。
セキュリティ調査会社のAtredis Partnersは2026年10月28日、Windows版Steamで確認された6件の脆弱性に関する調査結果を公開した。gamespark.jpが伝えている。内訳はリモートコード実行（RCE）が2件、ローカル権限昇格が4件。
RCEの2件は、同一アカウントでログインしたSteamクライアント間の通信に存在した。ダウンロードスケジュール変更メッセージと、ゲームのインストール・更新状態メッセージが該当する。研究者らは、攻撃者が対象と同じSteamアカウントで認証されたクライアントを制御していれば、クリック操作なしでコードを実行できることを実証した。
ローカル権限昇格の1件では、ゲームのインストールスクリプト処理を悪用することで、SYSTEM権限でプログラムを実行できたという。
報告はHackerOne経由、公開分は修正済みか期限超過
Bryan Alexander氏を含む研究者らは、すべての問題をValveのHackerOneプログラムを通じて報告した。公開された詳細は、修正済みか開示期限を過ぎたものだとしている。
よくある質問
Steamの脆弱性は何件見つかったのですか？
リモートコード実行が2件、ローカル権限昇格が4件の計6件です。
ゼロクリックで悪用できるのですか？
攻撃者が、対象と同じSteamアカウントで認証されたクライアントを制御している場合に、クリック操作なしでコード実行が可能だと実証されました。
Valveには報告済みなのですか？
すべてValveのHackerOneプログラムを通じて報告されており、公開された詳細は修正済みか開示期限を過ぎたものです。