Steam曝6个漏洞 含零点击远程代码执行
安全公司Atredis Partners披露Windows版Steam的6个漏洞，其中两个远程代码执行问题已演示零点击利用。
据gamespark.jp报道，安全研究与咨询公司Atredis Partners于2026年10月28日公开了针对Steam的6个漏洞的研究结果，其中包括两个远程代码执行（RCE）漏洞和4个本地权限提升漏洞，均影响Windows版Steam。
研究指出，两个远程代码执行问题出在Steam客户端之间的通信机制上，涉及下载计划变更消息以及游戏安装与更新状态消息。只要攻击者控制一个与目标登录同一Steam账号的客户端，就能实现零点击代码执行，无需受害者进行任何操作。
另一个本地权限提升问题则可通过滥用游戏安装脚本的处理流程，以SYSTEM权限运行程序。
据gamespark.jp报道，所有问题均通过Valve运营的漏洞赏金平台HackerOne提交，公开的细节要么已被修复，要么已超过披露期限。研究由Bryan Alexander等研究人员完成。
快速问答
这次披露的Steam漏洞有多少个？
共6个，包括两个远程代码执行漏洞和4个本地权限提升漏洞，均影响Windows版Steam。
这些漏洞修复了吗？
所有问题都通过Valve的HackerOne项目上报，公开的细节要么已修复，要么已超过披露期限。