Microsoft patchar RoguePlanet zero-day-sårbarhet i Defender

Microsoft ↘ 1.41% har släppt en säkerhetsuppdatering för Microsoft Malware Protection Engine för att adressera CVE-2026-50656, en zero-day-sårbarhet i Microsoft Defender känd som RoguePlanet, som kan ge angripare SYSTEM-nivå rättigheter på fullt uppdaterade Windows-maskiner. Fixen kommer ungefär en månad efter att felet först offentliggjordes, vilket har lett till granskning av tidslinjen.cybersecuritynews+1

Ett «race condition» i kärnan av Defender

RoguePlanet publicerades först den 9 juni 2026 av en säkerhetsforskare som opererar under aliasen Nightmare Eclipse och Chaotic Eclipse, bara timmar efter att Microsoft rullade ut sin juni-uppdatering på Patch Tuesday. Sårbarheten utnyttjar ett «Time-of-Check to Time-of-Use» race condition i Defenders realtidsskanningsmotor, vilket tillåter en lokal angripare med låga rättigheter att omdirigera filoperationer utförda av motorn och starta ett kommandoskal som körs som NT AUTHORITY\SYSTEM – den högsta rättighetsnivån i Windows.kudelskisecurity+3

Microsoft erkände felet formellt den 17 juni, gav det en CVSS-poäng på 7,8 och uppgav att de «arbetade med att tillhandahålla en säkerhetsuppdatering av hög kvalitet». I ett uttalande till BleepingComputer rapporterat av PCWorld, sa en talesperson att företaget skulle «ge information om denna CVE när uppdateringen är tillgänglig». Flera oberoende forskare, inklusive team hos ThreatLocker och Picus Security, bekräftade att utnyttjandet fungerade på fullt uppdaterade Windows 10- och Windows 11-system, inklusive de med den kumulativa uppdateringen från juni 2026 installerad.threatlocker+4

Veckor utan fix

Gapet mellan offentliggörande och fix väckte kritik från säkerhetscommunityn. Per den 25 juni noterade Kudelski Security att «ingen officiell säkerhetsuppdatering har släppts, och det finns ett offentligt bevis på konceptet (proof-of-concept) som fungerar oavsett om Defender Real-Time Protection är aktiverat». Utnyttjandets probabilistiska natur – beroende av att vinna ett race condition – gav en viss begränsning, men organisationer lämnades att förlita sig på temporära lösningar som Windows Defender Application Control i tvingande läge eller att begränsa standardanvändare från att montera VHD-filer.apolocybersecurity+2

RoguePlanet är den fjärde Defender-sårbarheten som avslöjats av Nightmare Eclipse, efter BlueHammer, UnDefend och RedSun, vilka Microsoft sedan dess har fixat. Microsoft uppgav i sitt råd att de inte hade upptäckt aktivt utnyttjande av felet i det vilda, även om de bedömde sårbarheten som «Utnyttjande mer sannolikt» på sitt Exploitability Index.kudelskisecurity+2

Vad organisationer bör göra nu

Uppdateringen för Malware Protection Engine levereras automatiskt genom Defender-plattformsuppdateringar och Windows Update. Administratörer bör verifiera sin motorversion genom att använda PowerShell-kommandot Get-MpComputerStatus och bekräfta att uppdateringen har tillämpats över hela flottan. Organisationer som implementerade temporära åtgärder – som WDAC-efterlevnad eller ASR-regler – bör upprätthålla dessa kontroller medan de bekräftar att utrullningen av fixen är slutförd.sentinelone+1