Брайан Александер из Atredis Partners опубликовал 28 октября разбор атаки на Steam для Windows: с одного компьютера удалось выполнить код на другом без клика пользователя. Обязательное условие — атакующий уже контролирует клиент Steam, авторизованный в том же аккаунте.

Клиенты одного аккаунта автоматически обмениваются состоянием загрузок и установки игр через серверы Valve. Для этого не требуется сопряжение Remote Play или отдельное разрешение на удалённое управление. Именно этот служебный канал исследователи использовали для атаки.

Обработчики сообщений копировали слишком длинные списки в ограниченные области памяти. Дополнительная ошибка отправляла соседнему клиенту оставшиеся в памяти адреса программного кода — они помогли превратить сбой в управляемое выполнение команд. Демонстрация связала атакующую виртуальную машину Windows 10 с компьютером на Windows 11. Отдельно автор разобрал четыре способа локального повышения прав через привилегированную службу Steam.

Все проблемы переданы Valve через HackerOne. По формулировке Atredis, опубликованные ошибки либо исправлены, либо прошли установленный исследователями срок раскрытия; конкретные безопасные версии клиента для каждой ошибки в разборе не названы. Это исследовательская демонстрация, а не сообщение об установленной кампании взломов. Её существенный результат — показанный переход от доступа к игровой учётной записи к выполнению кода на другом связанном с ней компьютере.