Νέο zero-day πλήττει το Windows Defender λίγες ώρες μετά το Patch Tuesday ρεκόρ

Λίγες ώρες αφότου η Microsoft ↘ 0.45% κυκλοφόρησε τη μεγαλύτερη ενημέρωση Patch Tuesday στην ιστορία της την Τρίτη, ένας ερευνητής ασφαλείας γνωστός ως Nightmare Eclipse δημοσίευσε ένα νέο proof-of-concept exploit με την ονομασία RoguePlanet, το οποίο παρέχει προνόμια επιπέδου SYSTEM σε πλήρως ενημερωμένα συστήματα Windows 10 και Windows 11 μέσω μιας συνθήκης ανταγωνισμού στο Microsoft Defender.

Το Exploit

Η εταιρεία κυβερνοασφάλειας ThreatLocker επιβεβαίωσε στο BleepingComputer ότι το exploit λειτουργεί όπως περιγράφεται, αναπαράγοντας με επιτυχία το ελάττωμα σε συστήματα Windows 11 με εγκατεστημένη τη σωρευτική ενημέρωση KB5094126 του Ιουνίου 2026. «Η αρχική μας ανάλυση επιβεβαιώνει ότι το exploit RoguePlanet είναι βιώσιμο και εκτελείται όπως περιγράφεται», δήλωσε ο διευθύνων σύμβουλος της ThreatLocker, Danny Jenkins, στο BleepingComputer. «Οι οργανισμοί που χρησιμοποιούν λίστες επιτρεπόμενων εφαρμογών (application allowlisting) μπορούν να εμποδίσουν την εκτέλεση του exploit, παρέχοντας ένα αποτελεσματικό επίπεδο προστασίας έναντι αυτής της επίθεσης.»bleepingcomputer

Ο Nightmare Eclipse μοιράστηκε το proof-of-concept σε ένα αυτοφιλοξενούμενο αποθετήριο Git, αφού ισχυρίστηκε ότι η Microsoft είχε προηγουμένως αφαιρέσει αποθετήρια στο GitHub και το GitLab που φιλοξενούσαν προηγούμενα exploits. «Το exploit είναι μια συνθήκη ανταγωνισμού, οπότε είναι θέμα τύχης. Κατάφερα να έχω ποσοστό επιτυχίας 100% σε ορισμένα μηχανήματα, ενώ σε άλλα δυσκολεύτηκε να λειτουργήσει», έγραψε ο ερευνητής. Το exploit αναπτύχθηκε αρχικά ως ευπάθεια απομακρυσμένης εκτέλεσης κώδικα (RCE) που εκμεταλλευόταν τον τρόπο χειρισμού αρχείων από το Defender σε απομακρυσμένα SMB shares, αλλά η Microsoft θωράκισε σιωπηλά το επηρεαζόμενο API στα μέσα Μαΐου, αναγκάζοντας σε μια αναθεώρηση που πλέον το περιορίζει σε τοπική κλιμάκωση προνομίων.bleepingcomputer

Μια κλιμακούμενη διαμάχη

Το RoguePlanet είναι το πιο πρόσφατο επεισόδιο σε μια εκστρατεία μηνών από τον ερευνητή κατά της Microsoft. Από τις αρχές Απριλίου 2026, ο Nightmare Eclipse έχει κυκλοφορήσει πολλαπλά zero-day exploits, συμπεριλαμβανομένων των BlueHammer, RedSun, UnDefend, YellowKey, GreenPlasma και MiniPlasma — όλα στοχεύοντας στοιχεία των Windows όπως το Defender και το BitLocker. Η Microsoft διόρθωσε τα GreenPlasma και YellowKey ως μέρος της κυκλοφορίας Patch Tuesday της Τρίτης, η οποία αντιμετώπισε πάνω από 200 ευπάθειες και τρία δημόσια γνωστά zero-days.bleepingcomputer+3

Η ενημέρωση του Ιουνίου διόρθωσε επίσης το CVE-2026-41091, μια ευπάθεια κλιμάκωσης προνομίων στο Defender που αναφέρεται τόσο ως δημόσια γνωστή όσο και υπό ενεργή εκμετάλλευση.thezdi

Η απάντηση της Microsoft

Η Microsoft απάντησε αρχικά στην εκστρατεία γνωστοποίησης με προειδοποιήσεις σχετικά με τη συνεργασία με τις αρχές επιβολής του νόμου κατά όσων εμπλέκονται σε «κακόβουλη δραστηριότητα που προκαλεί πραγματική βλάβη», προκαλώντας αντιδράσεις από την κοινότητα κυβερνοασφάλειας. Η εταιρεία στη συνέχεια άλλαξε στάση, διευκρινίζοντας ότι δεν έχει καμία πρόθεση να ασκήσει νομικές ενέργειες κατά ατόμων που ασχολούνται με τον εντοπισμό ευπαθειών και επιστρέφοντας στο πλαίσιο «Συντονισμένης Γνωστοποίησης Ευπαθειών» (Coordinated Vulnerability Disclosure). Ο Nightmare Eclipse αγνόησε το κλαδί ελαίας, συνεχίζοντας να κυκλοφορεί exploits μέσω μιας ανεξάρτητης πλατφόρμας.notebookcheck+1