Steamに遠隔コード実行など6件の脆弱性、Atredis Partnersが公開
Atredis Partnersは2026年10月28日、Steamの脆弱性6件を公開した。遠隔コード実行2件とローカル権限昇格4件で、いずれもHackerOne経由でValveに報告済み。
セキュリティ研究企業のAtredis Partnersは2026年10月28日、Steamの脆弱性に関するセキュリティ調査報告を公開した。gamebusiness.jpが伝えている。報告には遠隔コード実行（RCE）2件とローカル権限昇格4件の計6件が含まれる。
研究員のBryan Alexander氏らによると、RCEの2件は、同一アカウントでログインしているクライアント間の通信処理に存在した。ダウンロードスケジュールの変更やゲームのインストール・アップデート状況に関するメッセージが対象となる。
研究者らは、攻撃者が標的と同じSteamアカウントで認証されたクライアントを操作できる条件下で、ゼロクリックでのコード実行を実証した。
ローカル権限昇格の1件は、ゲームのインストールスクリプトがSYSTEM権限でプログラムを実行できるというものだった。
すべての問題はValveのHackerOneプログラムを通じて報告され、公開された項目は修正済みか、公開期限を過ぎたものだという。
よくある質問
Steamの脆弱性は何件公開されましたか？
遠隔コード実行2件とローカル権限昇格4件の計6件です。
脆弱性はValveに報告されていましたか？
すべてValveのHackerOneプログラムを通じて報告され、公開項目は修正済みか公開期限を過ぎたものです。