Neue Zero-Day-Lücke trifft Windows Defender Stunden nach rekordverdächtigem Patch Tuesday

Nightmare Eclipse veröffentlichte den RoguePlanet Zero-Day-Exploit nur Stunden nach Microsofts rekordverdächtigem Patch Tuesday-Update mit 200 Schwachstellen am Dienstag.bleepingcomputer+1
Die Sicherheitslücke nutzt eine Race Condition in Microsoft Defender aus, um SYSTEM-Rechte zu erlangen; das Cybersicherheitsunternehmen ThreatLocker bestätigte die Funktionsweise.bleepingcomputer
RoguePlanet ist der siebte Zero-Day-Exploit, den der Forscher seit April im Rahmen einer eskalierenden Kampagne gegen Microsoft aufgrund von Unstimmigkeiten bei der Offenlegung veröffentlicht hat.barracuda

Nur Stunden nachdem Microsoft am Dienstag sein bisher umfangreichstes Patch Tuesday-Update veröffentlicht hatte, publizierte ein Sicherheitsforscher namens Nightmare Eclipse einen neuen Proof-of-Concept-Exploit namens RoguePlanet. Dieser ermöglicht durch eine Race Condition in Microsoft Defender SYSTEM-Rechte auf vollständig gepatchten Windows 10- und Windows 11-Systemen.

Der Exploit

Das Cybersicherheitsunternehmen ThreatLocker bestätigte gegenüber BleepingComputer, dass der Exploit wie beschrieben funktioniert und die Schwachstelle auf Windows 11-Systemen mit dem kumulativen Update KB5094126 vom Juni 2026 erfolgreich reproduziert werden konnte. „Unsere erste Analyse bestätigt, dass der RoguePlanet-Exploit funktionsfähig ist und wie beschrieben arbeitet“, sagte ThreatLocker-CEO Danny Jenkins gegenüber BleepingComputer. „Organisationen, die Application Allowlisting nutzen, können die Ausführung des Exploits verhindern und so eine effektive Schutzschicht gegen diesen Angriff bieten.“bleepingcomputer

Nightmare Eclipse teilte den Proof-of-Concept auf einem selbst gehosteten Git-Repository, nachdem er behauptet hatte, Microsoft habe zuvor Repositories auf GitHub und GitLab gelöscht, die frühere Exploits enthielten. „Der Exploit basiert auf einer Race Condition und ist daher Glückssache. Auf einigen Maschinen habe ich eine Erfolgsquote von 100 % erreicht, während er auf anderen nur schwer funktionierte“, schrieb der Forscher. Der Exploit wurde ursprünglich als Schwachstelle für Remote Code Execution entwickelt, die die Handhabung von Dateien auf entfernten SMB-Freigaben durch Defender ausnutzte. Microsoft hat die betroffene API jedoch Mitte Mai stillschweigend gehärtet, was eine Neufassung erzwang, die den Exploit nun auf eine lokale Rechteausweitung beschränkt.bleepingcomputer

Ein eskalierender Streit

RoguePlanet ist der jüngste Vorfall in einer monatelangen Kampagne des Forschers gegen Microsoft. Seit Anfang April 2026 hat Nightmare Eclipse mehrere Zero-Day-Exploits veröffentlicht, darunter BlueHammer, RedSun, UnDefend, YellowKey, GreenPlasma und MiniPlasma – alle zielten auf Windows-Komponenten wie Defender und BitLocker ab. Microsoft behob GreenPlasma und YellowKey im Rahmen des Patch Tuesday am Dienstag, bei dem über 200 Schwachstellen und drei öffentlich bekannte Zero-Day-Lücken adressiert wurden.bleepingcomputer+3

Das Juni-Update behob zudem CVE-2026-41091, eine Schwachstelle zur Rechteausweitung in Defender, die als öffentlich bekannt und aktiv ausgenutzt gelistet war.thezdi

Microsofts Reaktion

Microsoft reagierte zunächst auf die Offenlegungskampagne mit Warnungen vor einer Zusammenarbeit mit Strafverfolgungsbehörden gegen diejenigen, die sich an „böswilligen Aktivitäten, die echten Schaden verursachen“, beteiligen, was in der Cybersicherheits-Community auf heftige Kritik stieß. Das Unternehmen ruderte daraufhin zurück und stellte klar, dass es nicht die Absicht habe, rechtliche Schritte gegen Personen einzuleiten, die sich mit der Identifizierung von Schwachstellen befassen, und kehrte zu seinem „Coordinated Vulnerability Disclosure“-Framework zurück. Nightmare Eclipse hat das Friedensangebot ignoriert und veröffentlicht weiterhin Exploits über eine unabhängige Plattform.notebookcheck+1

Quellen (14)