Ny null-dagers-sårbarhet rammer Windows Defender timer etter rekordstor Patch Tuesday

Timer etter at Microsoft ↗ 0.20% ga ut sin største Patch Tuesday-oppdatering noensinne på tirsdag, publiserte en sikkerhetsforsker kjent som Nightmare Eclipse en ny proof-of-concept-utnyttelse kalt RoguePlanet som gir SYSTEM-nivå privilegier på fullt oppdaterte Windows 10- og Windows 11-systemer gjennom en «race condition» i Microsoft Defender.

Utnyttelsen

Cybersikkerhetsselskapet ThreatLocker bekreftet overfor BleepingComputer at utnyttelsen fungerer som beskrevet, og reproduserte feilen på Windows 11-systemer med den kumulative oppdateringen KB5094126 fra juni 2026 installert. «Vår innledende analyse bekrefter at RoguePlanet-utnyttelsen er levedyktig og fungerer som beskrevet,» sa ThreatLocker-sjef Danny Jenkins til BleepingComputer. «Organisasjoner som bruker tillatelseslister for applikasjoner (allowlisting), kan forhindre at utnyttelsen kjøres, noe som gir et effektivt lag med beskyttelse mot dette angrepet.»bleepingcomputer

Nightmare Eclipse delte proof-of-concept-koden på et selvhostet Git-depot etter å ha hevdet at Microsoft tidligere hadde fjernet depoter på GitHub og GitLab som hostet tidligere utnyttelser. «Utnyttelsen er en race condition, så det er litt tilfeldig. Jeg har klart å oppnå en suksessrate på 100 % på noen maskiner, mens den slet med å fungere på andre,» skrev forskeren. Utnyttelsen ble opprinnelig utviklet som en sårbarhet for ekstern kodekjøring som utnyttet Defenders håndtering av filer på eksterne SMB-delinger, men Microsoft herdet i stillhet det berørte API-et i midten av mai, noe som tvang frem en omskriving som nå begrenser den til lokal eskalering av privilegier.bleepingcomputer

En eskalerende tvist

RoguePlanet er den siste i en månedslang kampanje fra forskeren mot Microsoft. Siden begynnelsen av april 2026 har Nightmare Eclipse gitt ut flere null-dagers-utnyttelser, inkludert BlueHammer, RedSun, UnDefend, YellowKey, GreenPlasma og MiniPlasma – alle rettet mot Windows-komponenter som Defender og BitLocker. Microsoft fikset GreenPlasma og YellowKey som en del av tirsdagens Patch Tuesday-utgivelse, som adresserte over 200 sårbarheter og tre offentlig kjente null-dagers-sårbarheter.bleepingcomputer+3

Juni-oppdateringen fikset også CVE-2026-41091, en sårbarhet for eskalering av privilegier i Defender som er oppført som både offentlig kjent og under aktiv utnyttelse.thezdi

Microsofts respons

Microsoft svarte i utgangspunktet på avsløringskampanjen med advarsler om samarbeid med politimyndigheter mot de som driver med «ondsinnet aktivitet som forårsaker reell skade», noe som vakte sterke reaksjoner fra cybersikkerhetsmiljøet. Selskapet endret senere kurs og presiserte at de ikke har til hensikt å forfølge rettslige skritt mot enkeltpersoner som driver med identifisering av sårbarheter, og vendte tilbake til sitt rammeverk for «koordinert sårbarhetsopplysning». Nightmare Eclipse har ignorert denne utstrakte hånden og fortsetter å gi ut utnyttelser gjennom en uavhengig plattform.notebookcheck+1