Microsoft paikkaa RoguePlanet Defenderin nollapäivähaavoittuvuuden

Microsoft ↘ 1.41% on julkaissut tietoturvapäivityksen Microsoftin haittaohjelmien torjuntamoottorille korjatakseen CVE-2026-50656-haavoittuvuuden, joka on Microsoft Defenderin RoguePlanet-nollapäivähaavoittuvuus. Se voi antaa hyökkääjille SYSTEM-tason oikeudet täysin päivitetyissä Windows-koneissa. Korjaus saapui noin kuukausi sen jälkeen, kun haavoittuvuus paljastettiin julkisesti, mikä herätti kritiikkiä aikataulusta.cybersecuritynews+1

Kilpailutilanne Defenderin ytimessä

RoguePlanet-haavoittuvuuden paljasti 9. kesäkuuta 2026 tietoturvatutkija, joka käyttää aliaksia Nightmare Eclipse ja Chaotic Eclipse, vain tunteja sen jälkeen, kun Microsoft julkaisi kesäkuun Patch Tuesday -päivityksensä. Haavoittuvuus hyödyntää Defenderin reaaliaikaisen skannausmoottorin Time-of-Check to Time-of-Use -kilpailutilannetta, mikä mahdollistaa vähäoikeuksisen paikallisen hyökkääjän ohjata moottorin suorittamia tiedostotoimintoja ja käynnistää komentotulkin, joka toimii NT AUTHORITY\SYSTEM-oikeuksilla – mikä on Windowsin korkein oikeustaso.kudelskisecurity+3

Microsoft tunnusti haavoittuvuuden virallisesti 17. kesäkuuta, antoi sille CVSS-pisteet 7.8 ja totesi, että se "työskentelee korkealaatuisen tietoturvapäivityksen tarjoamiseksi". PCWorldin raportoimassa lausunnossa BleepingComputerille yhtiön tiedottaja sanoi, että yritys "antaa tietoja tästä CVE:stä, kun päivitys on saatavilla". Useat riippumattomat tutkijat, mukaan lukien ThreatLockerin ja Picus Securityn tiimit, vahvistivat, että hyökkäys toimi täysin päivitetyissä Windows 10- ja Windows 11 -järjestelmissä, mukaan lukien ne, joihin oli asennettu kesäkuun 2026 kumulatiivinen päivitys.threatlocker+4

Viikkoja ilman korjausta

Julkisen paljastuksen ja korjauksen välinen aika herätti kritiikkiä tietoturvayhteisössä. Kesäkuun 25. päivänä Kudelski Security totesi, että "virallista tietoturvapäivitystä ei ole julkaistu, ja on olemassa julkinen konseptitodistus, joka toimii riippumatta siitä, onko Defenderin reaaliaikainen suojaus käytössä". Hyökkäyksen luonne – joka riippuu kilpailutilanteen voittamisesta – tarjosi jonkin verran suojaa, mutta organisaatiot joutuivat turvautumaan kiertotapoihin, kuten Windows Defenderin sovellusten hallintaan (WDAC) pakotetussa tilassa tai tavallisten käyttäjien estämiseen VHD-tiedostojen liittämisestä.apolocybersecurity+2

RoguePlanet on neljäs Nightmare Eclipsen paljastama Defender-haavoittuvuus BlueHammerin, UnDefendin ja RedSunin jälkeen, jotka Microsoft on sittemmin korjannut. Microsoft totesi neuvonnassaan, ettei se ole havainnut haavoittuvuuden aktiivista hyödyntämistä luonnossa, vaikka se luokitteli haavoittuvuuden "hyödyntäminen todennäköisempää" -luokkaan hyödynnettävyysindeksissään.kudelskisecurity+2

Mitä organisaatioiden tulisi tehdä nyt

Haittaohjelmien torjuntamoottorin päivitys toimitetaan automaattisesti Defender-alustan päivitysten ja Windows Updaten kautta. Järjestelmänvalvojien tulee tarkistaa moottorin versio Get-MpComputerStatus PowerShell -komennolla ja varmistaa, että päivitys on asennettu koko laitekantaan. Organisaatioiden, jotka toteuttivat väliaikaisia lievennyksiä – kuten WDAC-pakotuksen tai ASR-sääntöjä – tulee säilyttää nämä hallintatoimet samalla kun ne varmistavat korjauksen käyttöönoton valmistumisen.sentinelone+1