RoguePlanet (CVE-2026-50656): Kritisk Defender-fejl uden sikkerhedsopdatering

Hvad er CVE-2026-50656, også kaldet RoguePlanet?

CVE-2026-50656 er en lokal sårbarhed til privilegieeskalering – en såkaldt zero-day – i Microsoft Malware Protection Engine (MsMpEng). Det er den centrale motor, der scanner og håndterer skadelige filer i Microsoft Defender Antivirus ^CL.

Sårbarheden berører Windows 10 og Windows 11, herunder udgaverne Home, Pro, Enterprise og LTSC. Den påvirker også systemer, der var fuldt opdateret med Windows’ juniopdatering fra 2026, herunder KB5094126 ^L. En angriber skal allerede have lokal adgang til maskinen som almindelig bruger, men behøver ikke yderligere rettigheder ^C.

Sådan fungerer fejlen

RoguePlanet bygger på en TOCTOU-kapløbstilstand – Time-of-Check to Time-of-Use. Problemet hænger sammen med forkert håndtering af symbolske links før filadgang, klassificeret som CWE-59 ^GP.

Microsofts Malware Protection Engine kører med kontoen NT AUTHORITY\SYSTEM, som har meget omfattende rettigheder på Windows. Angrebet forsøger at få motorens kontrol af en filsti til at ske på ét tidspunkt og selve filhandlingen på et andet:

• En bruger med lave rettigheder opretter en særligt konstrueret symbolsk reference eller fil, som Defender kontrollerer.
• Før motoren bruger stien, ændrer angriberen den, så operationen peger på en placering, som angriberen selv kontrollerer.
• Ved hjælp af en såkaldt oplock kan tidspunktet for ændringen styres mere pålideligt ^PT.
• Defender udfører derefter en privilegeret filhandling på den valgte placering. Det kan i sidste ende åbne en kommandoskal med SYSTEM-rettigheder ^KL.

Angrebet foregår lokalt og kræver derfor, at angriberen kan logge interaktivt ind eller på anden måde køre kode på maskinen. Ifølge analyserne virker proof-of-concept-koden, uanset om Defenders realtidsbeskyttelse er slået til eller fra ^CMI.

Høj alvorlighed – men forskellige CVSS-vurderinger

Microsoft har tildelt sårbarheden en CVSS 3.1-basiscore på 7,8, klassificeret som HØJ. Microsoft vurderer angrebskompleksiteten som lav, blandt andet fordi oplocks kan gøre kapløbstilstanden mere pålidelig. NVD har angivet en basiscore på 7,0, også HØJ, men vurderer angrebskompleksiteten som højere på grund af vanskeligheden ved at vinde kapløbet ^CL.

Microsofts tidsmæssige vurdering giver en score på 7,6 med en funktionel exploit, ingen tilgængelig rettelse og bekræftet rapportering ^M. Sårbarheden er desuden markeret som “Exploitation More Likely” i Microsofts Exploitability Index ^KC. Det betyder dog ikke i sig selv, at der er dokumenteret udbredt udnyttelse i virkelige angreb.

Tidslinje: Offentlig exploit før Microsofts advisory

Dato	Hændelse
10. juni 2026	En fungerende offentlig exploit blev udgivet få timer efter Microsofts juniudgave af Patch Tuesday CLF.
16. juni 2026	Microsoft offentliggjorde advisoryet for CVE-2026-50656 og bekræftede sårbarheden NW.
16.–19. juni 2026	NVD-opslaget, Microsofts advisory og bredere omtale i sikkerhedsmiljøet blev offentliggjort NM.
4.–10. juli 2026	Der var fortsat ingen sikkerhedsopdatering, og Microsoft havde ikke meldt en tidsplan for en ekstraordinær opdatering ud CT.

Der gik dermed omkring seks dage fra offentliggørelsen af exploit-koden den 10. juni til Microsofts formelle bekræftelse den 16. juni. I begyndelsen af juli havde den fungerende exploit været offentligt tilgængelig i cirka en måned uden en rettelse ^FT.

Hvem står bag RoguePlanet?

Sårbarheden blev opdaget og offentliggjort af en sikkerhedsforsker, der bruger aliaserne Nightmare Eclipse og Chaotic Eclipse ^CTH.

RoguePlanet beskrives som det syvende exploit i forskerens løbende kampagne mod Microsoft Defender. Tidligere offentliggjorte fejl omfatter blandt andre BlueHammer, RedSun, UnDefend, YellowKey og GreenPlasma ^PD. TechRadar har beskrevet RoguePlanet som en del af en vedvarende undersøgelse af Defenders angrebsflade ^H. Tredjepartsgrupper som ThreatLocker har desuden reproduceret proof-of-concept-koden, hvilket understøtter vurderingen af, at angrebskæden er praktisk gennemførlig ^T.

Hvorfor har patch-forsinkelsen vakt kritik?

Sikkerhedsfolk har især peget på, at Microsoft Defender følger med stort set alle Windows-installationer og ofte er aktiveret som standard. En sårbarhed i selve antivirusmotoren får derfor en meget bred potentiel angrebsflade ^HF.

Kritikken har blandt andet lydt sådan:

• Red Hound fremhævede, at en fungerende exploit til antivirusprogrammet, som følger med alle Windows-kopier, havde været offentligt tilgængelig i mere end to uger uden en rettelse ^R.
• Cloud Security Alliance kaldte situationen alarmerende, fordi der ni dage efter offentliggørelsen hverken var kommet en patch eller en tidsplan for en ekstraordinær opdatering ^L.
• cve.tools skrev, at der den 1. juli – 21 dage efter offentliggørelsen – stadig ikke fandtes en rettelse, og at så lang eksponering var usædvanlig for en offentligt kendt zero-day i en central sikkerhedskomponent ^C.
• Flere analyser fremhævede ironien i, at Microsofts eget antivirusværktøj kunne bruges som vej til SYSTEM-rettigheder, samtidig med at manglen på en hurtig midlertidig rettelse satte spørgsmålstegn ved Microsofts håndtering af sårbarheder ^MH.

Microsoft har oplyst, at virksomheden arbejder på en sikkerhedsopdatering, men ifølge kilderne var der ikke udgivet en rettelse pr. 10. juli 2026 ^NC.

Hvad bør organisationer gøre nu?

Installer rettelsen, når den kommer

• Opdater Microsoft Malware Protection Engine (MsMpEng), så snart Microsoft udgiver en sikkerhedsopdatering.
• Hold øje med Windows Update, Microsoft Update Catalog, CVE-advisoryet og Microsoft Security Response Center (MSRC) for en ordinær eller ekstraordinær opdatering ^NWC.

Begræns den lokale adgang

• Reducér antallet af brugere med interaktiv adgang til følsomme Windows-maskiner.
• Begræns fysisk og logisk adgang for brugere, der ikke er betroede eller godkendte. Det er et af de mest direkte midlertidige værn, fordi sårbarheden kræver lokal kodekørsel ^KL.
• Følg princippet om mindst mulige rettigheder, og giv ikke almindelige brugere lokale administratorrettigheder. Det stopper dog ikke nødvendigvis RoguePlanet, som netop kan løfte en almindelig bruger til SYSTEM ^CL.

Styr, hvad der må køre

• Brug AppLocker eller WDAC (Windows Defender Application Control) til at blokere uautoriserede programmer, scripts og ukendte proof-of-concept-filer ^LI.
• Aktivér relevante ASR-regler (Attack Surface Reduction), der kan blokere blandt andet legitimationskapring og processer, som ikke er tillid til. Reglerne er dog ikke nødvendigvis i stand til direkte at forhindre selve TOCTOU-kapløbet ^F.

Overvåg mistænkelig aktivitet

• Opsæt EDR-regler, der reagerer på usædvanlig brug af oplocks og oprettelse af symbolske links fra processer, der ikke kører som SYSTEM ^LF.
• Undersøg uventede filhandlinger og processer, der forsøger at manipulere med filstier eller starte programmer med usædvanligt høje rettigheder.

Disse tiltag er midlertidige begrænsninger – ikke en erstatning for Microsofts sikkerhedsopdatering. Organisationer bør derfor prioritere test og udrulning af den officielle rettelse, så snart den bliver tilgængelig.