Windows向けのSunshineで2つのローカルセキュリティ脆弱性が発見され、バージョンv2025.122.141614およびそれ以前のバージョンに影響を及ぼしています。これらの脆弱性により、攻撃者は任意のコードを実行し、コンプロミスされたシステムで特権を昇格させることができます。Sunshineは、Moonlight用のセルフホストゲームストリーミングホストです。最初の脆弱性、CVE-2025-10198は、サービスパスの引用符が付いていない問題です。これにより、ローカル攻撃者はサービスパス内のディレクトリに悪意のある実行可能ファイルを配置できます。サービスが開始されると、悪意のあるコードが昇格された特権で実行されます。2番目の脆弱性、CVE-2025-10199は、DLL検索順序のハイジャックの欠陥です。これは、攻撃者がPATH環境変数内のユーザー書き込み可能なディレクトリに悪意のあるDLLを配置できることを意味します。アプリケーションはこの悪意のあるDLLを読み込む可能性があり、任意のコードの実行につながります。CVE-2025-10198は、SYSTEMへの特権昇格を可能にし、完全なマシンのコンプロミスを可能にします。CVE-2025-10199は、ユーザーのコンテキスト内で悪意のあるコードの実行を可能にします。ユーザーは、Sunshineプロジェクトから更新プログラムが利用可能になるまで、更新プログラムを適用する必要があります。その間、ユーザーは、これらの問題を軽減するために、PATHにユーザー書き込み可能なディレクトリがないことを確認する必要があります。また、Windowsサービス構成のすべてのサービスパスを引用符で囲む必要があります。最後に、サービス関連のディレクトリのアクセス権を制限することで、未承認のファイル配置を防ぐことができます。