Microsoft bekräftar arbete på patch för Defender zero-day

Microsoft ↘ 1.93% har formellt erkänt en sårbarhet för eskalering av privilegier i Microsoft Malware Protection Engine, nu spårad som CVE-2026-50656 med en CVSS-poäng på 7,8, och uppgett att de utvecklar en säkerhetsuppdatering för att åtgärda felet. Sårbarheten, som offentligt kallas "RoguePlanet", publicerades den 16 juni i Microsofts rådgivning utan en tidslinje för en fix.helpnetsecurity+2

Sårbarheten

RoguePlanet utnyttjar ett "Time-of-Check to Time-of-Use" race condition-fel i Microsoft Defenders skanningsmotor i realtid för att ge angripare SYSTEM-nivåprivilegier på fullt uppdaterade Windows 10- och Windows 11-maskiner. Felet är klassificerat under CWE-59 (felaktig länkresolvering före filåtkomst) och kan utnyttjas i attacker med låg komplexitet av autentiserade lokala angripare utan att någon användarinteraktion krävs.cybelangel+2

Proof-of-concept släpptes den 10 juni 2026 av en forskare som opererar under aliasen Nightmare Eclipse och Chaotic Eclipse, timmar efter att Microsoft skickat ut sin största Patch Tuesday-uppdatering någonsin som åtgärdade mer än 200 sårbarheter. Säkerhetsföretaget ThreatLocker bekräftade oberoende att utnyttjandet fungerar på system med den kumulativa uppdateringen från juni 2026 installerad. Microsoft har bedömt sårbarheten som "Exploitation More Likely" enligt sitt Exploitability Index men har inte upptäckt utnyttjande i det vilda.helpnetsecurity+3

En kampanj mot Microsoft

RoguePlanet är det åttonde utnyttjandet som släppts av Nightmare Eclipse sedan början av april 2026 i vad forskare beskriver som en vedergällningskampanj mot Microsoft. Forskaren har medvetet tidsinställt varje avslöjande till dagarna efter Patch Tuesday, vilket säkerställer att ingen fix finns tillgänglig på flera veckor. Tre tidigare utnyttjanden i serien — BlueHammer, RedSun och UnDefend — bekräftades ha utnyttjats i det vilda innan Microsoft utfärdade patchar. Säkerhetsföretaget Huntress observerade Nightmare Eclipse-verktyg som användes vid ett live-intrång så tidigt som i april.fortifiedhealthsecurity+2

Begränsningar under väntetiden

Utan en tillgänglig patch råds organisationer att begränsa standardanvändare från att montera VHD- och VHDX-filer via grupprincip, vilket tar bort den primära leveransmekanism som den nuvarande proof-of-concept-en förlitar sig på. Microsoft rekommenderar också att aktivera Attack Surface Reduction-regler i Defender för att lägga till friktion för vanliga post-utnyttjandesteg. ThreatLocker rådde till att tillämpa policyer för vitlistning av applikationer som blockerar osignerade körbara filer från användarskrivbara platser.threatlocker+1

Microsoft sa bara att de "arbetar på att tillhandahålla en säkerhetsuppdatering av hög kvalitet" och kommer att uppdatera CVE-posten när patchen är tillgänglig.opencve+1