如果你的 Steam 账号同时登录在好几台电脑上，这条消息值得看一眼：安全公司 Atredis Partners 披露，Steam 客户端曾存在“零点击”远程代码执行漏洞——只要攻击者控制了登录同一账号的另一台电脑，就能攻击你这台，而你什么都不用点。
先说结论：这是研究人员在可控环境里演示出来的攻击，前提条件比较苛刻（对方得先控制你账号下的一台设备）。报告称相关漏洞要么已修复，要么已过披露期限，但没有逐条列出修复状态和对应版本。所以最稳妥的做法是：把 Steam 更新到最新版，并清理账号里不认识的登录设备。
这次到底发生了什么
研究员 Bryan Alexander 在 10 月 28 日发布了报告，此前已在 BSides PDX 2026 做过部分演讲。团队公开了概念验证代码，所有问题都通过 Valve 的 HackerOne 漏洞赏金计划提交。研究覆盖两个方向：Steam 在 Windows 上以高权限运行的服务，以及不同 Steam 客户端之间互相发送的消息。
零点击攻击：问题出在账号同步消息
Steam 允许同一个账号在多台电脑上保持登录，这些客户端会通过 Valve 的 Connection Manager 服务器互相发同步消息，不需要先做 Remote Play 配对。远程攻击面就出在这里。
攻击前提：攻击者控制着一台登录了同一账号的 Steam 客户端。满足这一点后，研究人员演示的利用过程不需要目标电脑上的人做任何操作。
Atredis 找到了两个栈缓冲区溢出，外加一个信息泄露：
- 下载计划通知溢出：Steam 把攻击者可控的应用 ID 列表复制进固定大小的栈缓冲区，却没检查长度。
- 应用状态更新溢出：Steam 把进度记录复制进一个只有 7 个位置的数组，消息里带更多记录就会覆盖相邻的栈内存。
- 信息泄露：发出的下载计划消息总是发送固定数量的条目，即使实际数据不够，也会带出未初始化的栈数据，里面有内存地址。
说白了，这些内存地址帮研究人员定位到了 Steam 客户端库在内存里的位置，再配合溢出，就做出了能用的零点击代码执行。演示环境是：Windows 10 虚拟机充当攻击方，目标是一台已更新到最新的 Windows 11 电脑。
四条提权路径：Steam 服务以 SYSTEM 权限运行
本地提权方面，问题集中在 Steam 的 Windows 服务上。它用 SYSTEM 权限运行，用来干安装游戏依赖这类活。研究人员给出了四个发现：
| 发现 | 大意 |
|---|---|
| 安装脚本与可执行文件白名单 | 可被滥用，让一个被替换的程序以 SYSTEM 权限运行 |
| 旧版模块加载机制 | 可能从用户可写的位置启动攻击者控制的可执行文件 |
| 安全桌面捕获组件 | 用于串流时操作 Windows 提权弹窗；研究人员授权其输入功能后，本地进程可以向安全桌面注入键鼠事件，在测试中自动点掉提权确认 |
| Steam Frame 加密狗驱动安装 | 验证不足，可能装上非预期的已签名驱动，为“自带漏洞驱动”（BYOVD）攻击创造机会 |
普通玩家该怎么做
- 把 Steam 客户端更新到最新版（Steam 菜单里查看更新）。
- 在账号设置里检查已登录的设备，不认识的统一退出。
- 开启 Steam 令牌/二次验证，别在公共电脑上长期保持登录。
- 账号密码别和其他网站重复，不清楚怎么改的话可以看看密码安全的 6 个常见错误。
- 顺手清理浏览器里来路不明的插件，参考微软披露的 SleeperWidget 扩展追踪事件。
需要说明的是，报告对修复细节给得很少，原文作者 CyberInsider 也表示 Valve 没有回应他们的询问，因此无法确认最新版 Steam 是否已防住全部披露的问题。也就是说，更新是必要的，但不能当成万无一失。
常见问题（FAQ）
什么是“零点击”漏洞？
就是受害者不需要点链接、不需要打开文件，攻击就能成功。这次的条件是攻击者得先控制同一账号下的另一台 Steam 客户端。
只有一台电脑登录 Steam 的人受影响吗？
远程攻击路径依赖“同一账号多设备登录”，单设备风险较小。但本地提权类问题与此无关，保持更新依然重要。
这些漏洞修好了吗？
Atredis 称这些漏洞要么已修复，要么已过披露期限，但没有给出每个漏洞的修复状态和完整的补丁版本列表，我们也无法逐条确认。
小结
这次披露的核心是：多设备同步这种“方便功能”，也可能成为攻击面。更新 Steam、清理陌生登录设备、保护好账号，是眼下最实际的三件事。
参考来源：CyberInsider 报道（2026 年 10 月）。本文仅作安全资讯整理，不构成专业安全建议。