Nejde přitom pouze o další technickou chybu. Načasování zveřejnění je přímou součástí několikaměsíčního veřejného sporu mezi Microsoftem a výzkumníkem, který používá přezdívky Nightmare Eclipse, Chaotic Eclipse a MSNightmare .

Jak RoguePlanet funguje

RoguePlanet je chyba typu lokální eskalace oprávnění (LPE). To znamená, že útočník musí mít k počítači nejprve alespoň přístup k účtu s nízkými oprávněními; exploit mu následně umožní tato oprávnění výrazně rozšířit .

Zranitelnost se nachází v procesu, kterým Microsoft Defender zpracovává soubory vyhodnocené jako škodlivé. Defender nejprve ověří cestu k souboru a poté jej například přesune do karantény nebo smaže. Mezi kontrolou a samotným zápisem však vzniká krátké časové okno. Cesta se v okamžiku provedení operace znovu neověřuje, takže ji lze za určitých okolností změnit — jde o takzvanou závodní podmínku, respektive chybu typu TOCTOU („time of check to time of use“) .

V popisovaném scénáři může útočník přimět Defender, aby místo zamýšleného souboru přepsal vlastní legitimní soubory nebo spustil libovolný kód. Výsledkem může být příkazový řádek s oprávněními SYSTEM, tedy prakticky úplná kontrola nad napadeným počítačem . Útok může pracovat například se souborem umístěným na vzdáleném SMB serveru .

Zároveň nejde o spolehlivý útok na jedno kliknutí. Nightmare Eclipse označil exploit za „hit or miss“ — na některých počítačích podle něj dosahoval stoprocentní úspěšnosti, zatímco na jiných selhával . Bezpečnostní společnost ThreatLocker však oznámila, že jej dokázala nezávisle reprodukovat i na systémech s nainstalovanými červnovými aktualizacemi .

K datu zveřejnění nebyla pro RoguePlanet k dispozici oprava. Samotná instalace červnových záplat proto podle dostupných informací tuto konkrétní chybu neodstraňuje .

Proč přišel právě po Patch Tuesday

Microsoft 9. června vydal svou dosud největší měsíční bezpečnostní aktualizaci. Opravoval celkem 200 zranitelností, mezi nimi tři zero-day chyby a dvě dříve zveřejněné zranitelnosti v Defenderu . Jednou z opravovaných chyb byl BlueHammer (CVE-2026-33825), další nesla označení RedSun (CVE-2026-41091) .

RoguePlanet se objevil během několika hodin po vydání těchto oprav. Výzkumník tím demonstrativně ukázal, že rozsáhlý balík aktualizací nemusí znamenat, že je bezpečnostní produkt bez dalších nevyřešených problémů . Rapid7 uvedl, že tři veřejně známé chyby zahrnuté v červnovém balíku přímo souvisely s kauzou Nightmare Eclipse .

Sedmý zero-day v eskalujícím konfliktu

RoguePlanet navazuje na šest předchozích zranitelností, které Nightmare Eclipse zveřejnil od dubna 2026:

• BlueHammer (CVE-2026-33825) – závodní podmínka v Defenderu vedoucí k eskalaci oprávnění
• RedSun (CVE-2026-41091) – další chyba lokální eskalace oprávnění v Defenderu
• UnDefend (CVE-2026-45498) – třetí zranitelnost v Defenderu
• YellowKey, GreenPlasma a MiniPlasma – chyby zasahující další součásti Windows, včetně BitLockeru a CTF

Do konce května bylo potvrzeno, že BlueHammer, RedSun a UnDefend jsou aktivně zneužívány v reálných útocích. Americký úřad CISA je proto zařadil do katalogu známých zranitelností zneužívaných útočníky, známého jako Known Exploited Vulnerabilities .

Co tvrdí výzkumník a jak reagoval Microsoft

Nightmare Eclipse tvrdí, že opakovaně posílal hlášení prostřednictvím oficiálního portálu Microsoft Security Response Center (MSRC). Podle jeho verze byla hlášení ignorována, uzavírána bez vysvětlení nebo se setkávala s odmítavými reakcemi . Dále uvedl, že mu Microsoft zablokoval účty na GitHubu, GitLabu a portálu MSRC, takže přišel o oficiální kanály pro oznamování dalších chyb .

Po této zkušenosti začal zveřejňovat celé exploity a v některých případech také funkční ukázkový kód. Na 28. května avizoval „bone shattering“ zveřejnění naplánované na Patch Tuesday . RoguePlanet, vydaný krátce po červnových opravách, se stal jeho sedmým veřejným zero-dayem .

Microsoft na předchozí zveřejňování reagoval velmi ostře. Označil jej za „nezodpovědné“ a varoval, že zveřejnění technických detailů a proof-of-concept kódu vystavuje zákazníky riziku ještě před dostupností oprav . Koncem května společnost dokonce pohrozila předáním případu orgánům činným v trestním řízení .

Část bezpečnostní komunity však tvrdila, že ke zveřejňování přispěl právě způsob, jakým Microsoft podle výzkumníka nakládal s původními hlášeními a jeho účty . Po silné kritice Microsoft 2. června svůj tón zmírnil a uvedl, že „nemá v úmyslu podnikat kroky proti osobám, které provádějí nebo zveřejňují bezpečnostní výzkum“ .

Co RoguePlanet znamená pro správce systémů

Bez dostupné opravy není instalace červnového Patch Tuesday sama o sobě zárukou ochrany před tímto konkrétním scénářem. RoguePlanet navíc vyžaduje předchozí nízkoúrovňový přístup k zařízení a podle dostupných testů není spolehlivý na každém počítači . To ale nemění nic na závažnosti dopadu v případě úspěchu: útočník může získat oprávnění SYSTEM a převzít kontrolu nad systémem.

Pro obránce je hlavní poučení širší než samotný jeden exploit. Pravidelné záplatování zůstává nezbytné, ale v případě neopravených závodních podmínek v bezpečnostním softwaru nepředstavuje jedinou bezpečnostní hranici. Organizace by proto měly sledovat nové informace od Microsoftu a bezpečnostních týmů, omezovat zbytečné lokální účty s přístupem k systémům a věnovat pozornost neobvyklým aktivitám Defenderu i pokusům o eskalaci oprávnění.

Nejde přitom pouze o další technickou chybu. Načasování zveřejnění je přímou součástí několikaměsíčního veřejného sporu mezi Microsoftem a výzkumníkem, který používá přezdívky Nightmare Eclipse, Chaotic Eclipse a MSNightmare .

Jak RoguePlanet funguje

RoguePlanet je chyba typu lokální eskalace oprávnění (LPE). To znamená, že útočník musí mít k počítači nejprve alespoň přístup k účtu s nízkými oprávněními; exploit mu následně umožní tato oprávnění výrazně rozšířit .

Zranitelnost se nachází v procesu, kterým Microsoft Defender zpracovává soubory vyhodnocené jako škodlivé. Defender nejprve ověří cestu k souboru a poté jej například přesune do karantény nebo smaže. Mezi kontrolou a samotným zápisem však vzniká krátké časové okno. Cesta se v okamžiku provedení operace znovu neověřuje, takže ji lze za určitých okolností změnit — jde o takzvanou závodní podmínku, respektive chybu typu TOCTOU („time of check to time of use“) .

V popisovaném scénáři může útočník přimět Defender, aby místo zamýšleného souboru přepsal vlastní legitimní soubory nebo spustil libovolný kód. Výsledkem může být příkazový řádek s oprávněními SYSTEM, tedy prakticky úplná kontrola nad napadeným počítačem . Útok může pracovat například se souborem umístěným na vzdáleném SMB serveru .

Zároveň nejde o spolehlivý útok na jedno kliknutí. Nightmare Eclipse označil exploit za „hit or miss“ — na některých počítačích podle něj dosahoval stoprocentní úspěšnosti, zatímco na jiných selhával . Bezpečnostní společnost ThreatLocker však oznámila, že jej dokázala nezávisle reprodukovat i na systémech s nainstalovanými červnovými aktualizacemi .

K datu zveřejnění nebyla pro RoguePlanet k dispozici oprava. Samotná instalace červnových záplat proto podle dostupných informací tuto konkrétní chybu neodstraňuje .

Proč přišel právě po Patch Tuesday

Microsoft 9. června vydal svou dosud největší měsíční bezpečnostní aktualizaci. Opravoval celkem 200 zranitelností, mezi nimi tři zero-day chyby a dvě dříve zveřejněné zranitelnosti v Defenderu . Jednou z opravovaných chyb byl BlueHammer (CVE-2026-33825), další nesla označení RedSun (CVE-2026-41091) .

RoguePlanet se objevil během několika hodin po vydání těchto oprav. Výzkumník tím demonstrativně ukázal, že rozsáhlý balík aktualizací nemusí znamenat, že je bezpečnostní produkt bez dalších nevyřešených problémů . Rapid7 uvedl, že tři veřejně známé chyby zahrnuté v červnovém balíku přímo souvisely s kauzou Nightmare Eclipse .

Sedmý zero-day v eskalujícím konfliktu

RoguePlanet navazuje na šest předchozích zranitelností, které Nightmare Eclipse zveřejnil od dubna 2026:

• BlueHammer (CVE-2026-33825) – závodní podmínka v Defenderu vedoucí k eskalaci oprávnění
• RedSun (CVE-2026-41091) – další chyba lokální eskalace oprávnění v Defenderu
• UnDefend (CVE-2026-45498) – třetí zranitelnost v Defenderu
• YellowKey, GreenPlasma a MiniPlasma – chyby zasahující další součásti Windows, včetně BitLockeru a CTF

Do konce května bylo potvrzeno, že BlueHammer, RedSun a UnDefend jsou aktivně zneužívány v reálných útocích. Americký úřad CISA je proto zařadil do katalogu známých zranitelností zneužívaných útočníky, známého jako Known Exploited Vulnerabilities .

Co tvrdí výzkumník a jak reagoval Microsoft

Nightmare Eclipse tvrdí, že opakovaně posílal hlášení prostřednictvím oficiálního portálu Microsoft Security Response Center (MSRC). Podle jeho verze byla hlášení ignorována, uzavírána bez vysvětlení nebo se setkávala s odmítavými reakcemi . Dále uvedl, že mu Microsoft zablokoval účty na GitHubu, GitLabu a portálu MSRC, takže přišel o oficiální kanály pro oznamování dalších chyb .

Po této zkušenosti začal zveřejňovat celé exploity a v některých případech také funkční ukázkový kód. Na 28. května avizoval „bone shattering“ zveřejnění naplánované na Patch Tuesday . RoguePlanet, vydaný krátce po červnových opravách, se stal jeho sedmým veřejným zero-dayem .

Microsoft na předchozí zveřejňování reagoval velmi ostře. Označil jej za „nezodpovědné“ a varoval, že zveřejnění technických detailů a proof-of-concept kódu vystavuje zákazníky riziku ještě před dostupností oprav . Koncem května společnost dokonce pohrozila předáním případu orgánům činným v trestním řízení .

Část bezpečnostní komunity však tvrdila, že ke zveřejňování přispěl právě způsob, jakým Microsoft podle výzkumníka nakládal s původními hlášeními a jeho účty . Po silné kritice Microsoft 2. června svůj tón zmírnil a uvedl, že „nemá v úmyslu podnikat kroky proti osobám, které provádějí nebo zveřejňují bezpečnostní výzkum“ .

Co RoguePlanet znamená pro správce systémů

Bez dostupné opravy není instalace červnového Patch Tuesday sama o sobě zárukou ochrany před tímto konkrétním scénářem. RoguePlanet navíc vyžaduje předchozí nízkoúrovňový přístup k zařízení a podle dostupných testů není spolehlivý na každém počítači . To ale nemění nic na závažnosti dopadu v případě úspěchu: útočník může získat oprávnění SYSTEM a převzít kontrolu nad systémem.

Pro obránce je hlavní poučení širší než samotný jeden exploit. Pravidelné záplatování zůstává nezbytné, ale v případě neopravených závodních podmínek v bezpečnostním softwaru nepředstavuje jedinou bezpečnostní hranici. Organizace by proto měly sledovat nové informace od Microsoftu a bezpečnostních týmů, omezovat zbytečné lokální účty s přístupem k systémům a věnovat pozornost neobvyklým aktivitám Defenderu i pokusům o eskalaci oprávnění.