Ny noll-dagars-sårbarhet drabbar Windows Defender timmar efter rekordstor Patch Tuesday

Timmar efter att Microsoft ↗ 0.66% släppte sin största Patch Tuesday-uppdatering någonsin i tisdags, publicerade en säkerhetsforskare känd som Nightmare Eclipse en ny proof-of-concept-exploit kallad RoguePlanet som ger SYSTEM-nivåbehörighet på fullt uppdaterade Windows 10- och Windows 11-system genom ett "race condition"-fel i Microsoft Defender.

Exploiten

Cybersäkerhetsföretaget ThreatLocker bekräftade för BleepingComputer att exploiten fungerar enligt beskrivningen och lyckades återskapa felet på Windows 11-system med den kumulativa uppdateringen KB5094126 från juni 2026 installerad. "Vår inledande analys bekräftar att RoguePlanet-exploiten är livskraftig och fungerar enligt beskrivningen", sa ThreatLockers VD Danny Jenkins till BleepingComputer. "Organisationer som använder tillåtelselistor för applikationer (allowlisting) kan förhindra att exploiten körs, vilket ger ett effektivt skyddslager mot denna attack."bleepingcomputer

Nightmare Eclipse delade proof-of-concept-koden på ett självhostat Git-arkiv efter att ha hävdat att Microsoft tidigare tagit bort arkiv på GitHub och GitLab som hostade tidigare exploiter. "Exploiten är ett race condition, så det är lite av ett lotteri. Jag har lyckats uppnå en framgångsgrad på 100 % på vissa maskiner, medan den kämpade för att fungera på andra", skrev forskaren. Exploiten utvecklades ursprungligen som en sårbarhet för fjärrkodskörning som utnyttjade Defenders hantering av filer på fjärranslutna SMB-delningar, men Microsoft härdade i tysthet det berörda API:et i mitten av maj, vilket tvingade fram en omskrivning som nu begränsar den till lokal eskalering av behörigheter.bleepingcomputer

En eskalerande tvist

RoguePlanet är den senaste i en månadslång kampanj från forskaren mot Microsoft. Sedan början av april 2026 har Nightmare Eclipse släppt flera noll-dagars-exploiter, inklusive BlueHammer, RedSun, UnDefend, YellowKey, GreenPlasma och MiniPlasma – alla riktade mot Windows-komponenter som Defender och BitLocker. Microsoft fixade GreenPlasma och YellowKey som en del av tisdagens Patch Tuesday-utgåva, som åtgärdade över 200 sårbarheter och tre offentligt kända noll-dagars-sårbarheter.bleepingcomputer+3

Juni-uppdateringen fixade även CVE-2026-41091, en sårbarhet för eskalering av behörigheter i Defender som listas som både offentligt känd och under aktivt utnyttjande.thezdi

Microsofts respons

Microsoft svarade inledningsvis på avslöjandekampanjen med varningar om samarbete med brottsbekämpande myndigheter mot dem som ägnar sig åt "skadlig aktivitet som orsakar verklig skada", vilket väckte starka reaktioner från cybersäkerhetscommunityt. Företaget ändrade senare kurs och klargjorde att de inte har för avsikt att vidta rättsliga åtgärder mot individer som ägnar sig åt identifiering av sårbarheter, och återgick till sitt ramverk för "koordinerad sårbarhetsupplysning". Nightmare Eclipse har ignorerat denna utsträckta hand och fortsätter att släppa exploiter genom en oberoende plattform.notebookcheck+1