Peneliti keamanan David Carliez menemukan kerentanan privilege escalation pada komponen Windows.AppResolver yang memungkinkan proses AppContainer tanpa capability apapun untuk memperoleh shell SYSTEM interaktif. Kerentanan ini, yang ditandai sebagai CVE-2026-50454, telah ditambat dalam July 2026 Patch Tuesday dan membuktikan bahwa boundary keamanan AppContainer masih memiliki celah kritis.
APA YANG TERJADI?
David Carliez menemukan authorization bypass dalam Windows.UI.Storage.dll yang terkait dengan private WinRT class Windows.Internal.AppResolver.AppResolverActivationArgsFactory. Sebelum perbaikan, sebuah proses AppContainer tanpa capability apapun dapat membuat objek AppResolver dan menetapkan protected default handler untuk protokol ms-settings:, yang seharusnya hanya bisa dilakukan oleh proses dengan privilege lebih tinggi.
Patch perbaikan menambahkan fungsi CheckCapabilityForClientOfObject_nothrow yang memverifikasi keberadaan capability “applicationDefaults” atau “shellExperience” pada klien pemanggil. Namun, ini bukan kerentanan untuk user standar menuju SYSTEM secara langsung, melainkan membutuhkan anggota lokal group Administrators terlebih dahulu, menjadikannya UAC bypass yang efektif.
DETAIL TEKNIS
Rantai eksploitasi dimulai dari filtered admin token yang diperoleh dalam konteks AppContainer zero-capability. Token ini kemudian digunakan untuk membuat objek AppResolver melalui factory yang menerima request tanpa memverifikasi capability. Setelah itu, proses AppContainer mampu menetapkan asosiasi ms-settings: protected yang mengarah ke fodhelper.exe.
Karena fodhelper.exe merupakan binary yang memiliki manifest auto-elevation, ia akan berjalan dalam konteks High-integrity process. Dari sini, exploit menciptakan temporary service yang menjalankan command dengan hak SYSTEM, menggunakan kombinasi WTSGetActiveConsoleSessionId dan CreateProcessAsUserW untuk menghasilkan shell SYSTEM interaktif. Validasi dilakukan pada Windows 11 25H2 build 26200.8737 yang rentan, dibandingkan build 26200.8875 yang sudah diperbaiki.
DAMPAK TERHADAP INDONESIA
Banyak organisasi di Indonesia masih menerapkan model keamanan berlapis di mana user diberikan hak admin lokal untuk kemudahan operasional. Kebiasaan ini, yang bertentangan dengan prinsip least privilege, menjadikan setiap anggota grup Administrators rentan terhadap UAC bypass seperti ini. BSSN dalam panduan hardening sistem operasi merekomendasikan penerapan User Account Control yang ketat, namun implementasi di lapangan masih sangat bervariasi.
Bagi tim SOC di Indonesia, teknik ini menegaskan bahwa UAC tidak boleh dianggap sebagai security boundary yang mutlak. Organisasi yang menjalankan Windows 11 25H2 harus memastikan patch Juli 2026 segera diterapkan. Di sektor perbankan dan keuangan yang diawasi OJK, penggunaan AppContainer sebagai mekanisme isolasi aplikasi juga perlu dievaluasi ulang mengingat boundary ini dapat dibypass oleh proses yang sudah memiliki hak admin.
REKOMENDASI MITIGASI
Terapkan Windows 11 build 26200.8875 atau versi lebih baru melalui Juli 2026 Patch Tuesday. Implementasikan prinsip least privilege dengan menghilangkan hak admin lokal dari user operasional sehari-hari. Gunakan Windows Defender Application Guard atau sandboxing berbasis virtualisasi untuk aplikasi yang berisiko tinggi. Audit konfigurasi AppContainer pada aplikasi yang menjalankan konten tidak tepercaya untuk memastikan mereka memiliki capability yang memadai.
Analisa Retasan
Kerentanan ini mengungkap ironi fundamental dalam arsitektur keamanan Windows: AppContainer, yang dirancang sebagai mekanisme isolasi untuk membungkus aplikasi dengan batasan ketat, justru dapat dimanfaatkan sebagai batu loncatan untuk eskalasi hak akses. Fakta bahwa zero-capability AppContainer dapat membuat objek AppResolver tanpa verifikasi capability menunjukkan adanya asumsi desain yang keliru, di mana Microsoft menganggap bahwa AppContainer secara inheren tidak berbahaya dan tidak memerlukan validasi akses yang ketat.
Teknik UAC bypass melalui fodhelper.exe bukanlah hal baru. Matt Nelson pertama kali mendemonstrasikan teknik ini pada tahun 2017, dan Google Project Zero menemukan variasi serupa melalui msconfig.exe pada tahun 2019. Yang menarik adalah OkoBot juga menggunakan msconfig.exe untuk UAC bypass, menunjukkan bahwa teknik-teknik ini terus menjadi andalan baik bagi peneliti maupun penyerang. Pola berulang ini menunjukkan bahwa Microsoft belum sepenuhnya menyelesaikan masalah root cause terkait binary auto-elevation.
Bagi organisasi di Indonesia, temuan ini menegaskan bahwa defense-in-depth tidak bisa hanya mengandalkan satu lapisan pertahanan. UAC harus diposisikan sebagai controls operational convenience, bukan security boundary. Kombinasi patch management yang ketat, least privilege enforcement, dan monitoring terhadap aktivitas auto-elevation merupakan pendekatan pertahanan yang paling realistis dan efektif terhadap jenis eksploitasi ini.
Sumber: David Carliez – Windows AppResolver LPE: From AppContainer to SYSTEM
CVE-2026-50454, Windows AppResolver, LPE, UAC bypass, AppContainer, fodhelper.exe, SYSTEM shell, July 2026 Patch Tuesday
