„Microsoft“ ištaiso „RoguePlanet Defender“ nulinės dienos spragą

„Microsoft“ ↘ 1.41% išleido saugos naujinimą „Microsoft Malware Protection Engine“, skirtą CVE-2026-50656 – „RoguePlanet“ nulinės dienos pažeidžiamumui „Microsoft Defender“ programoje, kuris gali suteikti užpuolikams SYSTEM lygio teises visiškai atnaujintuose „Windows“ įrenginiuose. Pataisymas pasirodė praėjus maždaug mėnesiui po to, kai spraga buvo viešai atskleista, o tai sukėlė diskusijų dėl laiko grafiko.cybersecuritynews+1

Lenktynių sąlyga „Defender“ šerdyje

„RoguePlanet“ pirmą kartą 2026 m. birželio 9 d. atskleidė saugumo tyrėjas, veikiantis „Nightmare Eclipse“ ir „Chaotic Eclipse“ slapyvardžiais, praėjus vos kelioms valandoms po to, kai „Microsoft“ išleido birželio mėnesio „Patch Tuesday“ naujinimą. Pažeidžiamumas išnaudoja „Time-of-Check to Time-of-Use“ lenktynių sąlygą „Defender“ realiojo laiko nuskaitymo variklyje, leidžiantį mažas teises turinčiam vietiniam užpuolikui nukreipti variklio atliekamas failų operacijas ir sukurti komandų apvalkalą, veikiantį kaip NT AUTHORITY\SYSTEM – aukščiausias „Windows“ teisių lygis.kudelskisecurity+3

„Microsoft“ oficialiai pripažino spragą birželio 17 d., suteikdama jai 7,8 CVSS balą ir nurodydama, kad „dirba siekdama pateikti aukštos kokybės saugos naujinimą“. „PCWorld“ cituotame pareiškime „BleepingComputer“ bendrovės atstovas teigė, kad įmonė „pateiks informaciją apie šį CVE, kai naujinimas bus prieinamas“. Keli nepriklausomi tyrėjai, įskaitant „ThreatLocker“ ir „Picus Security“ komandas, patvirtino, kad išnaudojimas veikė visiškai atnaujintose „Windows 10“ ir „Windows 11“ sistemose, įskaitant tas, kuriose įdiegtas 2026 m. birželio mėn. kaupiamasis naujinimas.threatlocker+4

Savaitės be pataisymo

Atotrūkis tarp viešo atskleidimo ir pataisymo sulaukė saugumo bendruomenės kritikos. Birželio 25 d. „Kudelski Security“ pažymėjo, kad „nėra išleistas joks oficialus saugos naujinimas, o egzistuoja viešas koncepcijos įrodymas, kuris veikia nepriklausomai nuo to, ar įjungta „Defender“ realiojo laiko apsauga“. Tikimybinis išnaudojimo pobūdis – priklausomybė nuo lenktynių sąlygos laimėjimo – suteikė tam tikrą apsaugą, tačiau organizacijos buvo priverstos pasikliauti laikinais sprendimais, tokiais kaip „Windows Defender Application Control“ vykdymo režimu arba standartinių vartotojų ribojimu montuoti VHD failus.apolocybersecurity+2

„RoguePlanet“ yra ketvirtas „Defender“ pažeidžiamumas, kurį atskleidė „Nightmare Eclipse“, po „BlueHammer“, „UnDefend“ ir „RedSun“, kuriuos „Microsoft“ jau ištaisė. „Microsoft“ savo patariamajame pranešime nurodė, kad neaptiko aktyvaus spragos išnaudojimo realioje aplinkoje, nors savo išnaudojamumo indekse pažeidžiamumą įvertino kaip „Išnaudojimas labiau tikėtinas“.kudelskisecurity+2

Ką organizacijos turėtų daryti dabar

„Malware Protection Engine“ naujinimas pristatomas automatiškai per „Defender“ platformos naujinimus ir „Windows Update“. Administratoriai turėtų patikrinti savo variklio versiją naudodami „Get-MpComputerStatus“ „PowerShell“ komandą ir patvirtinti, kad naujinimas buvo pritaikytas visame jų parke. Organizacijos, įdiegusios tarpines priemones, tokias kaip WDAC vykdymas ar ASR taisyklės, turėtų išlaikyti šią kontrolę, kol patvirtins, kad pataisymo diegimas baigtas.sentinelone+1