据国外媒体报道，微软公司目前正在调查中可被攻击者用来绕开系统安全机制的Windows内核漏洞。

英国安全软件公司Sophos把这个漏洞形容为潜在的“梦魇”，但微软称攻击者还需要进一步的努力才能执行远程代码攻击。

新漏洞于上周三正式公布，概念验证代码也于同一天公布。攻击者利用该漏洞可绕开Windows Vista和Windows 7系统的用户帐户控制（UAC）安全机制。UAC功能于2007年首次被引入Windows Vista中，它可以有效地拦截用户安装恶意软件的行为。

微软安全响应中心团队经理杰瑞-布莱恩特（Jerry Bryant）表示：“微软已经了解到，Windows内核可能存在权限提升漏洞。我们将继续对这个问题展开调查。调查结束后，我们将采取适当的行动。”

Sophos高级安全顾问切斯特·维斯尼奥斯基（Chester Wisniewski）称：“Windows系统内核中win32k.sys存在一个漏洞，该漏洞与某个特定的注册表项有关。有问题的注册表项会完全被非权限用户控制，攻击者可通过它假冒系统帐户，并无限制访问所有Windows系统组件。”

包括Sophos和Vupen在内的数家安全公司已经确认，漏洞和已被公开的攻击代码对Vista, Windows 7和Windows Server 2008都有效。

但由于需要进入本地网络，攻击者还无法实现远程攻击。微软对此也强调：“由于这是一个本地权限提升问题，它就需要攻击者在目标电脑中执行攻击代码。”

维斯尼奥斯基同时也警告道：“就其自身而言，该漏洞还无法执行远程代码攻击，但它可以使得非管理员帐户获得管理员帐户权限。”

另外，Prevx研究员马可-朱利安尼（Marco Giuliani）还担心，攻击者很可能配合其他攻击方式，对用户系统造成更大的危害。该漏洞还可能让系统已存在的恶意软件绕开UAC机制，进而完全控制系统。

朱利安尼指出：“这个漏洞可能成为一个梦魇，我们将很快看到各式各样的攻击方式。病毒编写者不会轻易放弃这个机会。”

据悉，微软公司的下一次常规补丁发布时间为12月14日。