Sådan fungerer RoguePlanet

RoguePlanet er en såkaldt lokal rettighedsforøgelse – på engelsk local privilege escalation eller LPE. Det betyder, at en angriber først skal have en form for adgang til computeren med begrænsede brugerrettigheder. Exploitten kan derefter forsøge at løfte disse rettigheder til det højeste niveau i Windows .

Sårbarheden udnytter en race condition, altså et meget snævert tidsvindue, hvor to processer konkurrerer om rækkefølgen af en handling. Microsoft Defender kontrollerer stien til en fil, før den eksempelvis sættes i karantæne eller slettes. Problemet opstår, fordi stien ifølge de tekniske beskrivelser ikke kontrolleres igen, lige når Defender udfører skrivehandlingen .

Hvis angriberen rammer det rigtige tidspunkt, kan Defender i stedet blive ledt til at overskrive legitime systemfiler eller køre vilkårlig kode. I bedste fald for angriberen kan det føre til en kommandoprompt med SYSTEM-rettigheder, som giver fuld kontrol over maskinen .

Der er dog en vigtig begrænsning: Exploitten er ikke stabil. Nightmare Eclipse har selv beskrevet den som et spørgsmål om, hvorvidt den rammer rigtigt, og har rapporteret fuld succes på nogle maskiner, men total fiasko på andre .

De vigtigste forhold er:

• Der kræves indledende adgang: Angriberen skal allerede være logget ind eller på anden måde have lavt privilegeret adgang til maskinen .
• Den er uafhængigt afprøvet: ThreatLocker har reproduceret exploitten på systemer med alle juni 2026-opdateringer .
• Der var ingen rettelse ved offentliggørelsen: Sårbarheden blev beskrevet som påvirkende fuldt opdaterede Windows 10- og Windows 11-systemer .

Metoden minder om den teknik, der tidligere blev brugt i Defender-sårbarheden BlueHammer (CVE-2026-33825), som også byggede på en TOCTOU-fejl – time of check to time of use – i Defenders håndtering af mistænkelige filer .

Udgivet lige efter Microsofts største Patch Tuesday

Microsofts juniopdatering rettede 200 sårbarheder, herunder tre zero-days og to tidligere offentliggjorte fejl i Defender . Blandt de rettede problemer var BlueHammer og RedSun, som Nightmare Eclipse tidligere havde gjort offentligt kendt .

Rapid7 skrev, at tre af de offentligt kendte sårbarheder i juniopdateringen var tæt forbundet med sagen om Nightmare Eclipse . Tidspunktet for RoguePlanet var derfor bemærkelsesværdigt: Den nye exploit blev offentliggjort få timer efter, at rettelserne var gjort tilgængelige .

Allerede den 28. maj havde forskeren varslet et såkaldt “bone shattering”-zero-day-drop på Patch Tuesday . RoguePlanet blev dermed ikke blot en teknisk demonstration, men også et offentligt signal om, at en stor opdateringspakke ikke nødvendigvis lukker alle relaterede sikkerhedshuller.

En konflikt, der har udviklet sig siden april

RoguePlanet er den syvende zero-day, som Nightmare Eclipse offentligt har udgivet siden april 2026 . Forskeren bruger også navnene Chaotic Eclipse og MSNightmare.

Forskerens version

Nightmare Eclipse hævder at have indsendt flere sårbarhedsrapporter gennem Microsofts officielle MSRC-portal – Microsoft Security Response Center. Ifølge forskeren blev rapporterne ignoreret, lukket uden forklaring eller mødt med afvisende svar .

Forskeren hævder desuden, at Microsoft deaktiverede konti på GitHub, GitLab og MSRC-portalen. Det skulle i praksis have afskåret vedkommende fra de officielle kanaler til rapportering af sikkerhedsfejl . Efter det, forskeren beskrev som en ydmygende behandling uden mulighed for at blive hørt, begyndte Nightmare Eclipse at offentliggøre komplette zero-days og fungerende proof-of-concept-kode .

De tidligere offentliggjorte sårbarheder

Før RoguePlanet havde forskeren offentliggjort seks Windows-sårbarheder:

• BlueHammer (CVE-2026-33825) – en Defender-fejl med mulighed for lokal rettighedsforøgelse
• RedSun (CVE-2026-41091) – endnu en LPE-sårbarhed i Defender
• UnDefend (CVE-2026-45498) – en tredje Defender-sårbarhed
• YellowKey, GreenPlasma og MiniPlasma – fejl i blandt andet BitLocker og CTF

Ved udgangen af maj blev BlueHammer, RedSun og UnDefend bekræftet udnyttet i aktive angreb. De blev også føjet til den amerikanske cybersikkerhedsmyndighed CISA’s katalog over kendte, aktivt udnyttede sårbarheder .

Microsoft skærpede tonen – og trak senere i land

Microsoft fordømte de ukoordinerede offentliggørelser som “uansvarlige” og advarede om, at kunder blev udsat for betydelig risiko, før rettelser eller begrænsninger var klar .

Konflikten blev yderligere optrappet i slutningen af maj, da Microsoft truede med at henvise sagen til politiet med henblik på en mulig strafferetlig efterforskning . Det udløste kritik fra dele af sikkerhedsbranchen, hvor flere mente, at Microsofts egen håndtering af de oprindelige rapporter – herunder lukkede sager og deaktiverede konti – havde været med til at drive forskeren ud i offentligheden .

Efter det voksende pres ændrede Microsoft tonen. Den 2. juni udtalte virksomheden offentligt, at den “ikke har til hensigt at gå efter personer, der udfører eller offentliggør sikkerhedsforskning” .

Hvad betyder det for Windows-brugere?

RoguePlanet viser, at installation af den seneste Patch Tuesday-opdatering ikke nødvendigvis er det samme som, at alle relevante sårbarheder er lukket. Der var ved offentliggørelsen ingen rettelse til netop denne fejl, og exploitten kræver allerede en vis adgang til den berørte computer .

For forsvarere er den centrale pointe derfor, at patching fortsat er afgørende, men ikke kan stå alene. Adgangskontrol, overvågning af mistænkelig aktivitet og begrænsning af lokale brugerrettigheder er fortsat vigtige sikkerhedslag, især når en fejl i et centralt sikkerhedsprodukt kan udnyttes på fuldt opdaterede systemer.

Sådan fungerer RoguePlanet

RoguePlanet er en såkaldt lokal rettighedsforøgelse – på engelsk local privilege escalation eller LPE. Det betyder, at en angriber først skal have en form for adgang til computeren med begrænsede brugerrettigheder. Exploitten kan derefter forsøge at løfte disse rettigheder til det højeste niveau i Windows .

Sårbarheden udnytter en race condition, altså et meget snævert tidsvindue, hvor to processer konkurrerer om rækkefølgen af en handling. Microsoft Defender kontrollerer stien til en fil, før den eksempelvis sættes i karantæne eller slettes. Problemet opstår, fordi stien ifølge de tekniske beskrivelser ikke kontrolleres igen, lige når Defender udfører skrivehandlingen .

Hvis angriberen rammer det rigtige tidspunkt, kan Defender i stedet blive ledt til at overskrive legitime systemfiler eller køre vilkårlig kode. I bedste fald for angriberen kan det føre til en kommandoprompt med SYSTEM-rettigheder, som giver fuld kontrol over maskinen .

Der er dog en vigtig begrænsning: Exploitten er ikke stabil. Nightmare Eclipse har selv beskrevet den som et spørgsmål om, hvorvidt den rammer rigtigt, og har rapporteret fuld succes på nogle maskiner, men total fiasko på andre .

De vigtigste forhold er:

• Der kræves indledende adgang: Angriberen skal allerede være logget ind eller på anden måde have lavt privilegeret adgang til maskinen .
• Den er uafhængigt afprøvet: ThreatLocker har reproduceret exploitten på systemer med alle juni 2026-opdateringer .
• Der var ingen rettelse ved offentliggørelsen: Sårbarheden blev beskrevet som påvirkende fuldt opdaterede Windows 10- og Windows 11-systemer .

Metoden minder om den teknik, der tidligere blev brugt i Defender-sårbarheden BlueHammer (CVE-2026-33825), som også byggede på en TOCTOU-fejl – time of check to time of use – i Defenders håndtering af mistænkelige filer .

Udgivet lige efter Microsofts største Patch Tuesday

Microsofts juniopdatering rettede 200 sårbarheder, herunder tre zero-days og to tidligere offentliggjorte fejl i Defender . Blandt de rettede problemer var BlueHammer og RedSun, som Nightmare Eclipse tidligere havde gjort offentligt kendt .

Rapid7 skrev, at tre af de offentligt kendte sårbarheder i juniopdateringen var tæt forbundet med sagen om Nightmare Eclipse . Tidspunktet for RoguePlanet var derfor bemærkelsesværdigt: Den nye exploit blev offentliggjort få timer efter, at rettelserne var gjort tilgængelige .

Allerede den 28. maj havde forskeren varslet et såkaldt “bone shattering”-zero-day-drop på Patch Tuesday . RoguePlanet blev dermed ikke blot en teknisk demonstration, men også et offentligt signal om, at en stor opdateringspakke ikke nødvendigvis lukker alle relaterede sikkerhedshuller.

En konflikt, der har udviklet sig siden april

RoguePlanet er den syvende zero-day, som Nightmare Eclipse offentligt har udgivet siden april 2026 . Forskeren bruger også navnene Chaotic Eclipse og MSNightmare.

Forskerens version

Nightmare Eclipse hævder at have indsendt flere sårbarhedsrapporter gennem Microsofts officielle MSRC-portal – Microsoft Security Response Center. Ifølge forskeren blev rapporterne ignoreret, lukket uden forklaring eller mødt med afvisende svar .

Forskeren hævder desuden, at Microsoft deaktiverede konti på GitHub, GitLab og MSRC-portalen. Det skulle i praksis have afskåret vedkommende fra de officielle kanaler til rapportering af sikkerhedsfejl . Efter det, forskeren beskrev som en ydmygende behandling uden mulighed for at blive hørt, begyndte Nightmare Eclipse at offentliggøre komplette zero-days og fungerende proof-of-concept-kode .

De tidligere offentliggjorte sårbarheder

Før RoguePlanet havde forskeren offentliggjort seks Windows-sårbarheder:

• BlueHammer (CVE-2026-33825) – en Defender-fejl med mulighed for lokal rettighedsforøgelse
• RedSun (CVE-2026-41091) – endnu en LPE-sårbarhed i Defender
• UnDefend (CVE-2026-45498) – en tredje Defender-sårbarhed
• YellowKey, GreenPlasma og MiniPlasma – fejl i blandt andet BitLocker og CTF

Ved udgangen af maj blev BlueHammer, RedSun og UnDefend bekræftet udnyttet i aktive angreb. De blev også føjet til den amerikanske cybersikkerhedsmyndighed CISA’s katalog over kendte, aktivt udnyttede sårbarheder .

Microsoft skærpede tonen – og trak senere i land

Microsoft fordømte de ukoordinerede offentliggørelser som “uansvarlige” og advarede om, at kunder blev udsat for betydelig risiko, før rettelser eller begrænsninger var klar .

Konflikten blev yderligere optrappet i slutningen af maj, da Microsoft truede med at henvise sagen til politiet med henblik på en mulig strafferetlig efterforskning . Det udløste kritik fra dele af sikkerhedsbranchen, hvor flere mente, at Microsofts egen håndtering af de oprindelige rapporter – herunder lukkede sager og deaktiverede konti – havde været med til at drive forskeren ud i offentligheden .

Efter det voksende pres ændrede Microsoft tonen. Den 2. juni udtalte virksomheden offentligt, at den “ikke har til hensigt at gå efter personer, der udfører eller offentliggør sikkerhedsforskning” .

Hvad betyder det for Windows-brugere?

RoguePlanet viser, at installation af den seneste Patch Tuesday-opdatering ikke nødvendigvis er det samme som, at alle relevante sårbarheder er lukket. Der var ved offentliggørelsen ingen rettelse til netop denne fejl, og exploitten kræver allerede en vis adgang til den berørte computer .

For forsvarere er den centrale pointe derfor, at patching fortsat er afgørende, men ikke kan stå alene. Adgangskontrol, overvågning af mistænkelig aktivitet og begrænsning af lokale brugerrettigheder er fortsat vigtige sikkerhedslag, især når en fejl i et centralt sikkerhedsprodukt kan udnyttes på fuldt opdaterede systemer.