Patch Tuesday-ის რეკორდული განახლებიდან რამდენიმე საათში Windows Defender-ს ახალი zero-day ექსპლოიტი დაატყდა თავს

რამდენიმე საათში მას შემდეგ, რაც Microsoft-მა ↗ 0.20% სამშაბათს თავისი ისტორიაში ყველაზე დიდი Patch Tuesday განახლება გამოუშვა, უსაფრთხოების მკვლევარმა, ცნობილმა როგორც Nightmare Eclipse, გამოაქვეყნა ახალი კონცეფციის დადასტურების ექსპლოიტი სახელწოდებით RoguePlanet, რომელიც სრულად განახლებულ Windows 10 და Windows 11 სისტემებზე Microsoft Defender-ში რბოლის პირობის (race condition) მეშვეობით SYSTEM დონის პრივილეგიებს ანიჭებს.

ექსპლოიტი

კიბერუსაფრთხოების კომპანია ThreatLocker-მა BleepingComputer-ს დაუდასტურა, რომ ექსპლოიტი აღწერილობისამებრ მუშაობს და ხარვეზი წარმატებით აღადგინა Windows 11 სისტემებზე, სადაც დაყენებული იყო 2026 წლის ივნისის კუმულაციური განახლება KB5094126. "ჩვენი პირველადი ანალიზი ადასტურებს, რომ RoguePlanet ექსპლოიტი ქმედუნარიანია და აღწერილობისამებრ მოქმედებს," განუცხადა BleepingComputer-ს ThreatLocker-ის გენერალურმა დირექტორმა დენი ჯენკინსმა. "ორგანიზაციებს, რომლებიც აპლიკაციების თეთრ სიას (allowlisting) იყენებენ, შეუძლიათ თავიდან აიცილონ ექსპლოიტის გაშვება, რაც ამ თავდასხმისგან დაცვის ეფექტურ შრეს უზრუნველყოფს."bleepingcomputer

Nightmare Eclipse-მა კონცეფციის დადასტურება საკუთარ ჰოსტინგზე განთავსებულ Git რეპოზიტორიაში გააზიარა მას შემდეგ, რაც განაცხადა, რომ Microsoft-მა მანამდე წაშალა GitHub-სა და GitLab-ზე განთავსებული რეპოზიტორიები, რომლებიც წინა ექსპლოიტებს შეიცავდა. "ექსპლოიტი არის რბოლის პირობა, ასე რომ, ეს იღბალზეა დამოკიდებული. ზოგ მანქანაზე 100%-იანი წარმატების მიღწევა შევძელი, მაშინ როცა სხვებზე მუშაობა გაუჭირდა," წერს მკვლევარი. ექსპლოიტი თავდაპირველად შემუშავდა, როგორც კოდის დისტანციურად შესრულების მოწყვლადობა, რომელიც Defender-ის მიერ დაშორებულ SMB რესურსებზე ფაილების დამუშავებას იყენებდა, მაგრამ Microsoft-მა მაისის შუა რიცხვებში ჩუმად გააძლიერა შესაბამისი API, რამაც კოდის გადაწერა გამოიწვია და ახლა ის მხოლოდ ლოკალური პრივილეგიების ესკალაციით შემოიფარგლება.bleepingcomputer

მზარდი დავა

RoguePlanet არის უახლესი ეტაპი თვეების განმავლობაში მკვლევარის მიერ Microsoft-ის წინააღმდეგ წარმოებულ კამპანიაში. 2026 წლის აპრილის დასაწყისიდან, Nightmare Eclipse-მა გამოაქვეყნა რამდენიმე zero-day ექსპლოიტი, მათ შორის BlueHammer, RedSun, UnDefend, YellowKey, GreenPlasma და MiniPlasma. ყველა მათგანი Windows-ის კომპონენტებს, როგორიცაა Defender და BitLocker, ამოღებდა მიზანში. Microsoft-მა GreenPlasma და YellowKey სამშაბათის Patch Tuesday-ის გამოშვების ფარგლებში გამოასწორა, რომელმაც 200-ზე მეტ მოწყვლადობას და სამ საჯაროდ გამჟღავნებულ zero-day-ს მიხედა.bleepingcomputer+3

ივნისის განახლებამ ასევე გამოასწორა CVE-2026-41091, Defender-ის პრივილეგიების ესკალაციის მოწყვლადობა, რომელიც მითითებული იყო როგორც საჯაროდ ცნობილი და აქტიური ექსპლოატაციის ქვეშ მყოფი.thezdi

Microsoft-ის პასუხი

Microsoft-მა გამჟღავნების კამპანიას თავდაპირველად უპასუხა გაფრთხილებებით სამართალდამცავებთან თანამშრომლობის შესახებ მათ წინააღმდეგ, ვინც ეწევა "ბოროტმოქმედებას, რაც რეალურ ზიანს აყენებს", რამაც კიბერუსაფრთხოების საზოგადოების უკმაყოფილება გამოიწვია. კომპანიამ შემდგომში შეცვალა კურსი და განმარტა, რომ არ აპირებს სამართლებრივი დევნის განხორციელებას იმ პირთა წინააღმდეგ, რომლებიც მოწყვლადობის გამოვლენით არიან დაკავებულნი და დაუბრუნდა "კოორდინირებული მოწყვლადობის გამჟღავნების" ჩარჩოს. Nightmare Eclipse-მა არად ჩააგდო ეს მშვიდობიანი ჟესტი და განაგრძო ექსპლოიტების გამოქვეყნება დამოუკიდებელი პლატფორმის მეშვეობით.notebookcheck+1