Η Microsoft διορθώνει το κενό ασφαλείας μηδενικής ημέρας RoguePlanet στον Defender

Η Microsoft ↘ 1.41% κυκλοφόρησε μια ενημέρωση ασφαλείας για το Microsoft Malware Protection Engine για την αντιμετώπιση του CVE-2026-50656, μιας ευπάθειας μηδενικής ημέρας στον Microsoft Defender γνωστής ως RoguePlanet, η οποία μπορεί να δώσει σε επιτιθέμενους προνόμια επιπέδου SYSTEM σε πλήρως ενημερωμένα μηχανήματα Windows. Η διόρθωση έρχεται περίπου έναν μήνα μετά την πρώτη δημόσια αποκάλυψη του κενού, προκαλώντας κριτική σχετικά με το χρονοδιάγραμμα.cybersecuritynews+1

Μια συνθήκη ανταγωνισμού στον πυρήνα του Defender

Το RoguePlanet αποκαλύφθηκε για πρώτη φορά στις 9 Ιουνίου 2026 από έναν ερευνητή ασφαλείας που χρησιμοποιεί τα ψευδώνυμα Nightmare Eclipse και Chaotic Eclipse, λίγες ώρες αφότου η Microsoft κυκλοφόρησε την ενημέρωση Patch Tuesday του Ιουνίου. Η ευπάθεια εκμεταλλεύεται μια συνθήκη ανταγωνισμού Time-of-Check to Time-of-Use στη μηχανή σάρωσης πραγματικού χρόνου του Defender, επιτρέποντας σε έναν τοπικό επιτιθέμενο με χαμηλά προνόμια να ανακατευθύνει τις λειτουργίες αρχείων που εκτελούνται από τη μηχανή και να δημιουργήσει ένα κέλυφος εντολών που εκτελείται ως NT AUTHORITY\SYSTEM — το υψηλότερο επίπεδο προνομίων στα Windows.kudelskisecurity+3

Η Microsoft αναγνώρισε επίσημα το κενό στις 17 Ιουνίου, αποδίδοντάς του βαθμολογία CVSS 7.8 και δηλώνοντας ότι «εργάζεται για την παροχή μιας ενημέρωσης ασφαλείας υψηλής ποιότητας». Σε δήλωσή της στο BleepingComputer, όπως αναφέρθηκε από το PCWorld, ένας εκπρόσωπος είπε ότι η εταιρεία θα «παρέχει πληροφορίες για αυτό το CVE όταν η ενημέρωση είναι διαθέσιμη». Πολλοί ανεξάρτητοι ερευνητές, συμπεριλαμβανομένων ομάδων της ThreatLocker και της Picus Security, επιβεβαίωσαν ότι το exploit λειτουργούσε σε πλήρως ενημερωμένα συστήματα Windows 10 και Windows 11, συμπεριλαμβανομένων εκείνων με εγκατεστημένη τη σωρευτική ενημέρωση του Ιουνίου 2026.threatlocker+4

Εβδομάδες χωρίς διόρθωση

Το κενό μεταξύ της δημόσιας αποκάλυψης και της ενημέρωσης προκάλεσε κριτική από την κοινότητα ασφαλείας. Από τις 25 Ιουνίου, η Kudelski Security σημείωσε ότι «δεν έχει κυκλοφορήσει επίσημη ενημέρωση ασφαλείας και υπάρχει ένα δημόσιο proof-of-concept που λειτουργεί ανεξάρτητα από το αν είναι ενεργοποιημένη η Προστασία Πραγματικού Χρόνου του Defender». Η πιθανολογική φύση του exploit — που εξαρτάται από την επιτυχία σε μια συνθήκη ανταγωνισμού — προσέφερε κάποιο μετριασμό, αλλά οι οργανισμοί αναγκάστηκαν να βασιστούν σε προσωρινές λύσεις όπως το Windows Defender Application Control σε λειτουργία επιβολής ή τον περιορισμό των τυπικών χρηστών από την προσάρτηση αρχείων VHD.apolocybersecurity+2

Το RoguePlanet είναι η τέταρτη ευπάθεια του Defender που αποκαλύπτεται από τον Nightmare Eclipse, μετά τα BlueHammer, UnDefend και RedSun, τα οποία η Microsoft έχει διορθώσει έκτοτε. Η Microsoft δήλωσε στη συμβουλευτική της ότι δεν έχει εντοπίσει ενεργή εκμετάλλευση του κενού στην πράξη, αν και αξιολόγησε την ευπάθεια ως «Πιθανότερη Εκμετάλλευση» στον Δείκτη Εκμεταλλευσιμότητας.kudelskisecurity+2

Τι πρέπει να κάνουν οι οργανισμοί τώρα

Η ενημέρωση του Malware Protection Engine παραδίδεται αυτόματα μέσω των ενημερώσεων της πλατφόρμας Defender και του Windows Update. Οι διαχειριστές πρέπει να επαληθεύσουν την έκδοση της μηχανής τους χρησιμοποιώντας την εντολή Get-MpComputerStatus του PowerShell και να επιβεβαιώσουν ότι η ενημέρωση έχει εφαρμοστεί σε όλο τον στόλο τους. Οι οργανισμοί που εφάρμοσαν ενδιάμεσα μέτρα μετριασμού — όπως η επιβολή WDAC ή οι κανόνες ASR — θα πρέπει να διατηρήσουν αυτούς τους ελέγχους ενώ επιβεβαιώνουν ότι η ανάπτυξη της ενημέρωσης έχει ολοκληρωθεί.sentinelone+1