Microsoft fikser RoguePlanet zero-day-sårbarhet i Defender

Microsoft har utgitt en sikkerhetsoppdatering for Malware Protection Engine for å fikse RoguePlanet zero-day-sårbarheten i Microsoft Defender.cybersecuritynews+1
Feilen, som ble avslørt 9. juni av forskeren Nightmare Eclipse, utnytter en «race condition» for å gi fulle SYSTEM-rettigheter på oppdaterte Windows-maskiner.cybelangel+1
Organisasjoner som ble stående uten en offisiell fiks i nesten en måned, ble tvunget til å stole på midlertidige løsninger som retningslinjer for applikasjonskontroll.kudelskisecurity+1

Microsoft har utgitt en sikkerhetsoppdatering for Microsoft Malware Protection Engine for å adressere CVE-2026-50656, en zero-day-sårbarhet i Microsoft Defender kjent som RoguePlanet, som kan gi angripere SYSTEM-nivå rettigheter på fullt oppdaterte Windows-maskiner. Fiksen kommer omtrent en måned etter at feilen først ble offentliggjort, noe som har ført til granskning av tidslinjen.cybersecuritynews+1

En «race condition» i kjernen av Defender

RoguePlanet ble først publisert 9. juni 2026 av en sikkerhetsforsker som opererer under aliasene Nightmare Eclipse og Chaotic Eclipse, bare timer etter at Microsoft rullet ut sin juni-oppdatering på Patch Tuesday. Sårbarheten utnytter en «Time-of-Check to Time-of-Use» race condition i Defenders sanntidsskanningsmotor, noe som tillater en lokal angriper med lave rettigheter å omdirigere filoperasjoner utført av motoren og starte et kommandoskall som kjører som NT AUTHORITY\SYSTEM – det høyeste rettighetsnivået i Windows.kudelskisecurity+3

Microsoft anerkjente feilen formelt 17. juni, ga den en CVSS-score på 7,8 og uttalte at de «jobbet med å levere en sikkerhetsoppdatering av høy kvalitet». I en uttalelse til BleepingComputer rapportert av PCWorld, sa en talsperson at selskapet ville «gi informasjon om denne CVE-en når oppdateringen er tilgjengelig». Flere uavhengige forskere, inkludert team hos ThreatLocker og Picus Security, bekreftet at utnyttelsen fungerte på fullt oppdaterte Windows 10- og Windows 11-systemer, inkludert de med den kumulative oppdateringen fra juni 2026 installert.threatlocker+4

Uker uten fiks

Gapet mellom offentliggjøring og fiks vakte kritikk fra sikkerhetsmiljøet. Per 25. juni bemerket Kudelski Security at «ingen offisiell sikkerhetsoppdatering er utgitt, og det finnes et offentlig bevis på konseptet (proof-of-concept) som fungerer uavhengig av om Defender Real-Time Protection er aktivert». Utnyttelsens probabilistiske natur – avhengig av å vinne en race condition – ga en viss begrensning, men organisasjoner ble stående og stole på midlertidige løsninger som Windows Defender Application Control i tvungen modus eller å begrense standardbrukere fra å montere VHD-filer.apolocybersecurity+2

RoguePlanet er den fjerde Defender-sårbarheten avslørt av Nightmare Eclipse, etter BlueHammer, UnDefend og RedSun, som Microsoft siden har fikset. Microsoft uttalte i sitt råd at de ikke hadde oppdaget aktiv utnyttelse av feilen i det fri, selv om de vurderte sårbarheten som «Utnyttelse mer sannsynlig» på sin Exploitability Index.kudelskisecurity+2

Hva organisasjoner bør gjøre nå

Oppdateringen for Malware Protection Engine leveres automatisk gjennom Defender-plattformoppdateringer og Windows Update. Administratorer bør verifisere sin motorversjon ved å bruke PowerShell-kommandoen Get-MpComputerStatus og bekrefte at oppdateringen er brukt på tvers av hele flåten. Organisasjoner som implementerte midlertidige tiltak – som WDAC-håndheving eller ASR-regler – bør opprettholde disse kontrollene mens de bekrefter at utrullingen av fiksen er fullført.sentinelone+1

Kilder (43)