CVE-2026-58602 is a Use-After-Free (UAF) vulnerability in the Windows Kernel-Mode Driver that allows a local attacker with low privileges to escalate to SYSTEM-level access on Windows 11 and Windows Server 2025. The flaw stems from improper memory management in kernel-mode driver handling, where a previously freed memory object can be re-referenced via a dangling pointer, enabling arbitrary code execution in the kernel context. Microsoft addressed this vulnerability in the July 2026 Patch Tuesday security update (July 14, 2026), and immediate patching is strongly recommended. The MONITORAPP TA team is actively monitoring attack campaigns exploiting this class of vulnerability, particularly in the context of BYOVD (Bring Your Own Vulnerable Driver) attack chains targeting EDR solutions.

---

1. Overview

Source: Microsoft Security Response Center (MSRC)

CVE-2026-58602 is a Use-After-Free (UAF) memory vulnerability discovered in a Microsoft Windows kernel-mode driver; it is a critical vulnerability that allows a local attacker with low privileges to achieve privilege escalation to the SYSTEM level.

This vulnerability stems from a flaw in the kernel-mode driver’s memory management process that causes a dangling pointer—a reference to a memory object that has already been freed. An attacker could exploit this to execute arbitrary code in the kernel context or gain SYSTEM privileges, which could lead to a wide range of follow-up attacks, such as forcing the termination of EDR (Endpoint Detection & Response) processes, tampering with security policies, and deploying ransomware.

Microsoft released a patch for this vulnerability as part of the July 2026 Patch Tuesday (July 14) security update.

Items

Details

CVE Number

CVE-2026-58602

Vulnerability Type

Use-After-Free (CWE-416) — Privilege Escalation

Affected Products

Windows 11 (24H2, 25H2, 26H1) / Windows Server 2025

CVSS 3.1 Score

7.8 (High)

Attack Vector

Local / Low Privileges / No User Interaction Required

Patch Date

July 14, 2026 (Patch Tuesday)

Exploit Status

No publicly known exploits (as of Microsoft’s official announcement)

---

2. Attack Type

CVE-2026-58602 is a local privilege escalation attack that exploits a memory management flaw in a Windows kernel-mode driver. The attacker first gains access to a low-privileged user account or a malware execution environment. Once an environment for executing code with user privileges (T1190, T1059) is established through phishing emails, malicious attachments, or other exploit chains, the foundation for the attack is complete.

After gaining initial access, the attacker sends a specially crafted IOCTL (Input/Output Control) request to the vulnerable kernel-mode driver. During this process, the driver internally allocates and deallocates specific memory objects, but a use-after-free (UAF) vulnerability occurs because references to the deallocated pointers are not completely removed.

The attacker overwrites the deallocated memory region with data under their control and then tricks the driver into referencing that region again via the dangling pointer. At this point, the manipulated function pointer is executed in the kernel context, allowing the attacker’s code to run with kernel privileges. (T1068 — Exploitation for Privilege Escalation).

An attacker who successfully gains kernel privileges can use the control granted by the SYSTEM account to force-terminate EDR processes (T1562), install a kernel-level rootkit (T1014), or carry out follow-up attacks such as deploying ransomware or information-stealing malware. In particular, a similar kernel privilege escalation technique is being used as a key step in the BYOVD (Bring Your Own Vulnerable Driver) attack chain, which surged in the first half of 2026.

Example of an attack packet

# 공격자: 낮은 권한 프로세스에서 취약 드라이버 IOCTL 전송
DeviceIoControl(
    hDevice     = \.VulnDriver,          // 취약한 커널 모드 드라이버 핸들
    dwIoControlCode = 0x222084,            // UAF 트리거 IOCTL 코드
    lpInBuffer  = &crafted_input,          // 조작된 입력 버퍼
    nInBufferSize = sizeof(crafted_input),
    lpOutBuffer = NULL,
    nOutBufferSize = 0,
    ...
)

# [커널 내부] UAF 발생 시퀀스
OBJ* obj = ExAllocatePool(NonPagedPool, sizeof(OBJ));   // 객체 할당
...
ExFreePool(obj);                                         // 객체 해제 ← 포인터 미초기화
...
obj->vtable->callback();   // ← dangling ptr 재참조: UAF 발생

# [공격자] 해제된 메모리 영역 점령
HeapSpray(target_addr, &fake_vtable, spray_size);        // 조작된 vtable 삽입

<-- 커널이 fake_vtable->callback() 실행 → SYSTEM 컨텍스트 코드 실행 -->

# [결과] 권한 상승 완료
Token = OpenProcessToken(SYSTEM_PID);                    // SYSTEM 토큰 탈취
ImpersonateLoggedOnUser(Token);                          // 현재 프로세스에 SYSTEM 권한 적용

---

3. Response

Applying the Patch

Microsoft released an official security patch for CVE-2026-58602 via Patch Tuesday in July 2026. We recommend that all affected systems (Windows 11 24H2/25H2/26H1, Windows Server 2025) apply the update immediately.

TA Team Monitoring

Since this vulnerability operates by manipulating kernel memory within the endpoint rather than through network traffic, direct detection at the WAF (Web Application Firewall) layer is difficult. Currently, the MONITORAPP TA Team is continuously monitoring attack trends associated with this vulnerability (such as the use of BYOVD chains and the deployment of EDR-killer tools), and we plan to respond by updating detection rules if relevant attack scenarios are identified.

---

4. Conclusion

CVE-2026-58602 is a local privilege escalation vulnerability that exploits a use-after-free flaw in a Windows kernel-mode driver; it is a severe threat rated CVSS 7.8 (High). It allows an attacker to gain SYSTEM privileges even with low privileges, and is highly likely to be exploited as a key step in EDR bypass (BYOVD) attack chains.

As of the first half of 2026, a trend has been observed in which ransomware groups and APT actors are adopting the BYOVD technique as a standard attack procedure; therefore, this vulnerability is also likely to be exploited in future real-world attacks. We recommend immediately applying the security patch provided by Microsoft during Patch Tuesday in July 2026, while simultaneously strengthening driver loading policies and monitoring for anomalous processes within endpoint security solutions.

---

5. References

• NVD — CVE-2026-58602 Details
• Rapid7 — CVE-2026-58602: Windows Kernel-Mode Driver Elevation of Privilege
• Zero Day Initiative — The July 2026 Security Update Review
• Mallory — Use-After-Free Elevation of Privilege in Windows Kernel-Mode Driver
• The Hacker News — 54 EDR Killers Use BYOVD to Exploit 35 Signed Vulnerable Drivers
• MITRE ATT&CK — T1068: Exploitation for Privilege Escalation