Windows 10 重大更新之一的 「 Windows 10 1903」版本在日前正式發佈，用戶都開始會收到自動推送更新通知，不過，有安全研究人員最新發現了一個針對 Windows Zero-Day 漏洞，聲稱安全漏洞可能使黑客能夠完全控制 Windows 10 或 Windows Server 文件，從而獲得電腦上所有管理權限。

SandboxEscaper 安全研究人員最新公佈的 Windows 10 漏洞，是由去年 8 月以來的第 5 個 Zero-Day 漏洞，新的漏洞存在於 Windows 10 的 Task Scheduler 中，允許本地端黑客將一般權限擴張至管理權限。

新漏洞被歸類為本地特權升級（LPE）漏洞，意味著黑客可於 PC 上的低級權限帳戶提升為完整的管理員帳戶，讓本地端黑客可以進入原本只有獲得完整許可權的用戶 ( 例如 SYSTEM 用戶 ) 部份，並進行各種操作，黑客可用於通過任務計劃程式中利用漏洞來在電腦上運行有害代碼的權限。

SandboxEscaper 強調未修補漏洞的已經可以用於 Windows 10 系統，同時只需要通過一些調整，理論上可以用於任何版本的 Windows，更可以追溯到 Windows XP 系統。

CERT / CC 的安全專家 Will Dormann 測試了該漏洞，利用代碼並發現它在修補的 Windows 10 x86 系統上運行，成功率達到 100%。該代碼在重新編譯後也適用於 64-bit 的 Windows 10 系統，其結果與使用 Server 2016 和 2019 獲得的結果類似。

令人擔心的是，除了這個 Task Scheduler 的漏洞之外，SandboxEscaper 還聲稱她在 Windows 中發現了另外四個未修補的錯誤，當中有 3 個為本地端權限擴張漏洞，都可將權限擴張至管理權限，另一個則是沙箱逃逸漏洞。

顯然，以上被發現的安全漏洞是 Microsoft 需要迅速解決的問題，目前 Microsoft 未有就此事作出回應，未知會否在下一輪的 6 月份安全更新中獲得修補。