Microsoft behebt Zero-Day-Lücke RoguePlanet im Defender

Microsoft ↗ 0.90% hat ein Sicherheitsupdate für die Microsoft Malware Protection Engine veröffentlicht, um CVE-2026-50656 zu beheben, eine Zero-Day-Schwachstelle in Microsoft Defender namens RoguePlanet, die Angreifern SYSTEM-Rechte auf vollständig gepatchten Windows-Systemen gewähren kann. Der Fix erscheint etwa einen Monat nach der ersten öffentlichen Bekanntgabe der Schwachstelle, was zu Kritik am Zeitplan führte.cybersecuritynews+1

Eine Race Condition im Kern von Defender

RoguePlanet wurde am 9. Juni 2026 von einem Sicherheitsforscher unter den Pseudonymen Nightmare Eclipse und Chaotic Eclipse veröffentlicht, nur wenige Stunden nachdem Microsoft sein Juni-Patch-Tuesday-Update ausgerollt hatte. Die Schwachstelle nutzt eine Time-of-Check-to-Time-of-Use-Race-Condition in der Echtzeit-Scan-Engine von Defender aus. Dies ermöglicht es einem lokal angemeldeten Angreifer mit niedrigen Rechten, Dateivorgänge der Engine umzuleiten und eine Befehlszeile mit NT AUTHORITY\SYSTEM-Rechten zu starten – der höchsten Berechtigungsstufe unter Windows.kudelskisecurity+3

Microsoft erkannte die Schwachstelle am 17. Juni offiziell an, wies ihr einen CVSS-Wert von 7,8 zu und erklärte, man arbeite daran, ein qualitativ hochwertiges Sicherheitsupdate bereitzustellen. In einer gegenüber BleepingComputer abgegebenen und von PCWorld berichteten Stellungnahme teilte ein Sprecher mit, das Unternehmen werde "Informationen zu dieser CVE bereitstellen, sobald das Update verfügbar ist". Mehrere unabhängige Forscher, darunter Teams von ThreatLocker und Picus Security, bestätigten, dass der Exploit auf vollständig gepatchten Windows 10- und Windows 11-Systemen funktionierte, einschließlich solcher mit installiertem kumulativen Update vom Juni 2026.threatlocker+4

Wochen ohne Fix

Die Lücke zwischen der öffentlichen Bekanntgabe und dem Patch stieß in der Sicherheits-Community auf Kritik. Am 25. Juni stellte Kudelski Security fest, dass "kein offizielles Sicherheitsupdate veröffentlicht wurde und ein öffentlicher Proof-of-Concept existiert, der unabhängig davon funktioniert, ob der Defender-Echtzeitschutz aktiviert ist". Die probabilistische Natur des Exploits – abhängig vom Gewinnen einer Race Condition – bot eine gewisse Entschärfung, aber Organisationen mussten sich auf Workarounds wie die Windows Defender Application Control im erzwungenen Modus oder die Einschränkung der Berechtigung für Standardbenutzer zum Einbinden von VHD-Dateien verlassen.apolocybersecurity+2

RoguePlanet ist die vierte Defender-Schwachstelle, die von Nightmare Eclipse offengelegt wurde, nach BlueHammer, UnDefend und RedSun, die Microsoft inzwischen alle gepatcht hat. Microsoft erklärte in seinem Sicherheitshinweis, dass keine aktive Ausnutzung der Schwachstelle in freier Wildbahn festgestellt wurde, bewertete die Schwachstelle jedoch auf seinem Exploitability Index als "Exploitation More Likely" (Ausnutzung wahrscheinlicher).kudelskisecurity+2

Was Organisationen jetzt tun sollten

Das Update für die Malware Protection Engine wird automatisch über Defender-Plattform-Updates und Windows Update bereitgestellt. Administratoren sollten ihre Engine-Version mit dem PowerShell-Befehl Get-MpComputerStatus überprüfen und bestätigen, dass das Update in ihrer gesamten Flotte angewendet wurde. Organisationen, die vorläufige Minderungsmaßnahmen – wie WDAC-Durchsetzung oder ASR-Regeln – implementiert haben, sollten diese Kontrollen beibehalten, während sie den Abschluss der Patch-Bereitstellung bestätigen.sentinelone+1