Nová zranitelnost typu zero-day zasáhla Windows Defender několik hodin po rekordním Patch Tuesday

Několik hodin poté, co společnost Microsoft ↗ 1.62% v úterý vydala svou dosud největší aktualizaci Patch Tuesday, zveřejnil bezpečnostní výzkumník známý jako Nightmare Eclipse nový proof-of-concept exploit s názvem RoguePlanet, který uděluje oprávnění na úrovni SYSTEM na plně aktualizovaných systémech Windows 10 a Windows 11 prostřednictvím stavu závodu (race condition) v Microsoft Defenderu.

Exploit

Kybernetická bezpečnostní firma ThreatLocker potvrdila serveru BleepingComputer, že exploit funguje podle popisu a úspěšně zreprodukovala chybu na systémech Windows 11 s nainstalovanou kumulativní aktualizací KB5094126 z června 2026. „Naše počáteční analýza potvrzuje, že exploit RoguePlanet je životaschopný a funguje podle popisu,“ řekl pro BleepingComputer generální ředitel ThreatLocker Danny Jenkins. „Organizace používající seznamy povolených aplikací (allowlisting) mohou zabránit spuštění exploitu, což poskytuje účinnou vrstvu ochrany proti tomuto útoku.“bleepingcomputer

Nightmare Eclipse sdílel proof-of-concept na vlastním úložišti Git poté, co tvrdil, že Microsoft dříve odstranil úložiště na GitHubu a GitLabu, kde byly hostovány předchozí exploity. „Exploit je založen na stavu závodu, takže je to sázka do loterie. Na některých strojích se mi podařilo dosáhnout 100% úspěšnosti, zatímco na jiných fungoval jen stěží,“ napsal výzkumník. Exploit byl původně vyvinut jako zranitelnost pro vzdálené spuštění kódu zneužívající způsob, jakým Defender nakládá se soubory na vzdálených sdílených složkách SMB, ale Microsoft v polovině května dotčené API tiše zabezpečil, což vynutilo přepsání, které jej nyní omezuje na lokální eskalaci privilegií.bleepingcomputer

Eskalující spor

RoguePlanet je nejnovějším počinem v měsíce trvající kampani výzkumníka proti Microsoftu. Od začátku dubna 2026 vydal Nightmare Eclipse několik exploitů typu zero-day, včetně BlueHammer, RedSun, UnDefend, YellowKey, GreenPlasma a MiniPlasma – všechny cílí na komponenty Windows, jako jsou Defender a BitLocker. Microsoft opravil GreenPlasma a YellowKey v rámci úterního vydání Patch Tuesday, které řešilo přes 200 zranitelností a tři veřejně známé zero-day chyby.bleepingcomputer+3

Červnová aktualizace také opravila CVE-2026-41091, zranitelnost eskalace privilegií v Defenderu, která je uvedena jako veřejně známá a aktivně zneužívaná.thezdi

Reakce Microsoftu

Microsoft na kampaň zpočátku reagoval varováními o spolupráci s orgány činnými v trestním řízení proti těm, kteří se zapojují do „škodlivé činnosti způsobující skutečnou škodu“, což vyvolalo odpor komunity kybernetické bezpečnosti. Společnost následně změnila kurz a objasnila, že nemá v úmyslu podnikat právní kroky proti jednotlivcům zabývajícím se identifikací zranitelností, a vrátila se ke svému rámci „koordinovaného zveřejňování zranitelností“. Nightmare Eclipse tuto nabídku ignoroval a nadále vydává exploity prostřednictvím nezávislé platformy.notebookcheck+1