So funktioniert es: Eine TOCTOU-Race-Condition in der Antiviren-Engine selbst

Der Fehler ist eine Time-of-Check-to-Time-of-Use (TOCTOU)-Race-Condition, die auf einem fehlerhaften Link-Resolution-Problem (CWE-59) beruht . Die Microsoft Malware Protection Engine läuft standardmäßig als NT AUTHORITY\SYSTEM. Der Exploit lässt die Engine gegen sich selbst antreten:

• Ein Benutzer mit niedrigen Privilegien erstellt einen speziell präparierten symbolischen Link oder eine Datei, die die Engine überprüft (Time-of-Check), und tauscht diese dann aus, bevor die Engine sie verwendet (Time-of-Use).
• Durch das Gewinnen dieses Rennens – mithilfe eines Oplocks zur zuverlässigen Timing-Steuerung – leitet der Angreifer den Dateivorgang der Engine an einen beliebigen Ort um, z. B. ein vom Angreifer kontrolliertes Verzeichnis .
• Die Engine führt dann einen privilegierten Dateivorgang (z. B. Schreiben oder Ausführen) am vom Angreifer gewählten Pfad aus und erzeugt so effektiv eine Eingabeaufforderung mit SYSTEM-Privilegien .

Der Exploit ist lokal – der Angreifer muss bereits über normalen Benutzerzugriff auf den Rechner verfügen – erfordert aber darüber hinaus keine zusätzlichen Privilegien . Er funktioniert auch unabhängig davon, ob der Echtzeitschutz von Defender aktiviert oder deaktiviert ist .

CVSS-Score und Schweregrad

Microsoft weist einen CVSS-3.1-Basiswert von 7,8 (HOCH) zu, mit einer Angriffskomplexität von Niedrig (mit der Begründung, dass der Oplock das Rennen zuverlässig macht). Die NVD listet einen Basiswert von 7,0 (HOCH) mit einer Angriffskomplexität von Hoch auf (was die Schwierigkeit des Rennens anerkennt). Der temporale Vektor (E:F/RL:U/RC:C) ergibt unter Microsofts Bewertung einen temporalen Score von 7,6 .

Die Schwachstelle wird auf Microsofts Exploitability Index als "Exploitation More Likely" eingestuft .

Zeitplan der öffentlichen Offenlegung

Die Lücke zwischen der Veröffentlichung des öffentlichen Exploits und der Bestätigung durch Microsoft war kritisch:

Die Lücke zwischen der Veröffentlichung des öffentlichen Exploits (10. Juni) und der Bestätigung durch Microsoft (16. Juni) betrug ca. 6 Tage. Anfang Juli 2026 ist der Exploit seit etwa einem Monat öffentlich, ohne dass ein Fix verfügbar ist .

Wer hat es entdeckt: Die Nightmare-Eclipse-Kampagne

Die Schwachstelle wurde von einem Sicherheitsforscher entdeckt und öffentlich veröffentlicht, der unter den Pseudonymen Nightmare Eclipse (auch bekannt als Chaotic Eclipse) arbeitet .

Es handelt sich um den siebten Exploit in der anhaltenden Kampagne des Forschers gegen Microsoft Defender. Frühere offengelegte Defender-Schwachstellen umfassten frühere Privilegienausweitungs- und Umgehungs-Schwachstellen wie BlueHammer, RedSun, UnDefend, YellowKey und GreenPlasma . TechRadar charakterisiert RoguePlanet als Teil einer "anhaltenden Forschungskampagne gegen die Defender-Angriffsfläche" . Validierte PoC-Nachbildungen durch Drittgruppen wie ThreatLocker bestätigen die Zuverlässigkeit der Exploit-Kette .

Kritik der Gemeinschaft an der Patch-Verzögerung

Die verlängerte Patch-Lücke zog scharfe Kritik aus der Sicherheitsgemeinschaft auf sich:

• Red Hound beschrieb die Situation unverblümt: "Ein funktionierender Exploit für das Antivirenprogramm, das in jeder Windows-Kopie ausgeliefert wird, ist seit mehr als zwei Wochen öffentlich, und es gibt immer noch keinen Patch" .
• Cloud Security Alliance stellte fest, dass am 19. Juni – neun Tage nach der Offenlegung – weder ein Patch noch ein Zeitplan für ein außerplanmäßiges Release angekündigt worden war, und bezeichnete das Zeitfenster als "alarmierend" für eine Schwachstelle, die auf jedem Verbraucher- und Unternehmens-Windows-System ausgeliefert wird .
• cve.tools berichtete, dass am 1. Juli 2026 (21 Tage nach der Offenlegung) kein Patch existierte und die verlängerte Exposition "ungewöhnlich für eine öffentlich ausgenutzte Zero-Day in einer Kern-Sicherheitskomponente" sei .
• Mehrere Quellen hoben die Ironie hervor, dass Microsofts eigene Antiviren-Engine – die letzte Verteidigungslinie – als Vektor für SYSTEM-Ebene-Kompromittierung genutzt wurde und dass die mangelnde Dringlichkeit seitens Microsoft Fragen zu seinen Reaktionsprozessen für Schwachstellen aufwarf .

Der Kern der Frustration: Da Defender auf allen Windows-Installationen standardmäßig aktiviert ist, hat die Schwachstelle eine enorme Angriffsfläche, aber es wurde kein zwischenzeitlicher Patch (außerplanmäßig) herausgegeben, obwohl funktionierender Exploit-Code öffentlich verfügbar ist .

Vorläufige Abhilfemaßnahmen und Schritte, die Organisationen ergreifen sollten

Die Quellen empfehlen durchgängig die folgenden Schritte, bis Microsoft einen dauerhaften Fix bereitstellt:

Wenden Sie den Fix an, sobald verfügbar

• Aktualisieren Sie die Microsoft Malware Protection Engine (MsMpEng), sobald Microsoft ein Sicherheitsupdate veröffentlicht. Dies wird in der Regel über Windows Update oder den Microsoft Update-Katalog bereitgestellt .
• Am 10. Juli 2026 war kein Fix verfügbar – überwachen Sie die CVE-Beratung und das Microsoft Security Response Center (MSRC) auf ein außerplanmäßiges Release .

Vorläufige Abhilfemaßnahmen (kein Patch verfügbar)

• Schränken Sie lokale Benutzerkonten ein. Da der Exploit eine interaktive Anmeldung erfordert, minimieren Sie die Anzahl der Standardbenutzer auf sensiblen Systemen .
• Setzen Sie AppLocker oder WDAC (Windows Defender Application Control) durch, um nicht autorisierte ausführbare Dateien und Skripte daran zu hindern, ausgeführt zu werden, einschließlich nicht vertrauenswürdiger PoC-Binärdateien .
• Aktivieren Sie ASR-Regeln (Attack Surface Reduction), die den Diebstahl von Anmeldeinformationen und nicht vertrauenswürdige Prozesse blockieren können – auch wenn diese die TOCTOU-Race-Condition möglicherweise nicht direkt stoppen .
• Überwachen Sie auf bekannte Exploit-Artefakte. Der Exploit stützt sich auf die Erstellung bestimmter Oplocks und symbolischer Links. Implementieren Sie EDR-Regeln, die auf anomale Oplock-Nutzung und unerwartete Symlink-Erstellung durch Nicht-SYSTEM-Prozesse aufmerksam machen .
• Priorisieren Sie die Einschränkung des physischen/logischen Zugriffs auf Windows-Endpunkte für nicht vertrauenswürdige oder nicht überprüfte Benutzer. Dies ist die zuverlässigste vorläufige Kontrolle, da die Schwachstelle lokale Codeausführung erfordert .
• Verwenden Sie Modelle der geringsten Privilegien – gewähren Sie Standardbenutzern keine lokalen Admin-Rechte, auch wenn dies den Exploit nicht verhindert (er eskaliert von einem Standardbenutzer zu SYSTEM) .

So funktioniert es: Eine TOCTOU-Race-Condition in der Antiviren-Engine selbst

Der Fehler ist eine Time-of-Check-to-Time-of-Use (TOCTOU)-Race-Condition, die auf einem fehlerhaften Link-Resolution-Problem (CWE-59) beruht . Die Microsoft Malware Protection Engine läuft standardmäßig als NT AUTHORITY\SYSTEM. Der Exploit lässt die Engine gegen sich selbst antreten:

• Ein Benutzer mit niedrigen Privilegien erstellt einen speziell präparierten symbolischen Link oder eine Datei, die die Engine überprüft (Time-of-Check), und tauscht diese dann aus, bevor die Engine sie verwendet (Time-of-Use).
• Durch das Gewinnen dieses Rennens – mithilfe eines Oplocks zur zuverlässigen Timing-Steuerung – leitet der Angreifer den Dateivorgang der Engine an einen beliebigen Ort um, z. B. ein vom Angreifer kontrolliertes Verzeichnis .
• Die Engine führt dann einen privilegierten Dateivorgang (z. B. Schreiben oder Ausführen) am vom Angreifer gewählten Pfad aus und erzeugt so effektiv eine Eingabeaufforderung mit SYSTEM-Privilegien .

Der Exploit ist lokal – der Angreifer muss bereits über normalen Benutzerzugriff auf den Rechner verfügen – erfordert aber darüber hinaus keine zusätzlichen Privilegien . Er funktioniert auch unabhängig davon, ob der Echtzeitschutz von Defender aktiviert oder deaktiviert ist .

CVSS-Score und Schweregrad

Microsoft weist einen CVSS-3.1-Basiswert von 7,8 (HOCH) zu, mit einer Angriffskomplexität von Niedrig (mit der Begründung, dass der Oplock das Rennen zuverlässig macht). Die NVD listet einen Basiswert von 7,0 (HOCH) mit einer Angriffskomplexität von Hoch auf (was die Schwierigkeit des Rennens anerkennt). Der temporale Vektor (E:F/RL:U/RC:C) ergibt unter Microsofts Bewertung einen temporalen Score von 7,6 .

Die Schwachstelle wird auf Microsofts Exploitability Index als "Exploitation More Likely" eingestuft .

Zeitplan der öffentlichen Offenlegung

Die Lücke zwischen der Veröffentlichung des öffentlichen Exploits und der Bestätigung durch Microsoft war kritisch:

Die Lücke zwischen der Veröffentlichung des öffentlichen Exploits (10. Juni) und der Bestätigung durch Microsoft (16. Juni) betrug ca. 6 Tage. Anfang Juli 2026 ist der Exploit seit etwa einem Monat öffentlich, ohne dass ein Fix verfügbar ist .

Wer hat es entdeckt: Die Nightmare-Eclipse-Kampagne

Die Schwachstelle wurde von einem Sicherheitsforscher entdeckt und öffentlich veröffentlicht, der unter den Pseudonymen Nightmare Eclipse (auch bekannt als Chaotic Eclipse) arbeitet .

Es handelt sich um den siebten Exploit in der anhaltenden Kampagne des Forschers gegen Microsoft Defender. Frühere offengelegte Defender-Schwachstellen umfassten frühere Privilegienausweitungs- und Umgehungs-Schwachstellen wie BlueHammer, RedSun, UnDefend, YellowKey und GreenPlasma . TechRadar charakterisiert RoguePlanet als Teil einer "anhaltenden Forschungskampagne gegen die Defender-Angriffsfläche" . Validierte PoC-Nachbildungen durch Drittgruppen wie ThreatLocker bestätigen die Zuverlässigkeit der Exploit-Kette .

Kritik der Gemeinschaft an der Patch-Verzögerung

Die verlängerte Patch-Lücke zog scharfe Kritik aus der Sicherheitsgemeinschaft auf sich:

• Red Hound beschrieb die Situation unverblümt: "Ein funktionierender Exploit für das Antivirenprogramm, das in jeder Windows-Kopie ausgeliefert wird, ist seit mehr als zwei Wochen öffentlich, und es gibt immer noch keinen Patch" .
• Cloud Security Alliance stellte fest, dass am 19. Juni – neun Tage nach der Offenlegung – weder ein Patch noch ein Zeitplan für ein außerplanmäßiges Release angekündigt worden war, und bezeichnete das Zeitfenster als "alarmierend" für eine Schwachstelle, die auf jedem Verbraucher- und Unternehmens-Windows-System ausgeliefert wird .
• cve.tools berichtete, dass am 1. Juli 2026 (21 Tage nach der Offenlegung) kein Patch existierte und die verlängerte Exposition "ungewöhnlich für eine öffentlich ausgenutzte Zero-Day in einer Kern-Sicherheitskomponente" sei .
• Mehrere Quellen hoben die Ironie hervor, dass Microsofts eigene Antiviren-Engine – die letzte Verteidigungslinie – als Vektor für SYSTEM-Ebene-Kompromittierung genutzt wurde und dass die mangelnde Dringlichkeit seitens Microsoft Fragen zu seinen Reaktionsprozessen für Schwachstellen aufwarf .

Der Kern der Frustration: Da Defender auf allen Windows-Installationen standardmäßig aktiviert ist, hat die Schwachstelle eine enorme Angriffsfläche, aber es wurde kein zwischenzeitlicher Patch (außerplanmäßig) herausgegeben, obwohl funktionierender Exploit-Code öffentlich verfügbar ist .

Vorläufige Abhilfemaßnahmen und Schritte, die Organisationen ergreifen sollten

Die Quellen empfehlen durchgängig die folgenden Schritte, bis Microsoft einen dauerhaften Fix bereitstellt:

Wenden Sie den Fix an, sobald verfügbar

• Aktualisieren Sie die Microsoft Malware Protection Engine (MsMpEng), sobald Microsoft ein Sicherheitsupdate veröffentlicht. Dies wird in der Regel über Windows Update oder den Microsoft Update-Katalog bereitgestellt .
• Am 10. Juli 2026 war kein Fix verfügbar – überwachen Sie die CVE-Beratung und das Microsoft Security Response Center (MSRC) auf ein außerplanmäßiges Release .

Vorläufige Abhilfemaßnahmen (kein Patch verfügbar)

• Schränken Sie lokale Benutzerkonten ein. Da der Exploit eine interaktive Anmeldung erfordert, minimieren Sie die Anzahl der Standardbenutzer auf sensiblen Systemen .
• Setzen Sie AppLocker oder WDAC (Windows Defender Application Control) durch, um nicht autorisierte ausführbare Dateien und Skripte daran zu hindern, ausgeführt zu werden, einschließlich nicht vertrauenswürdiger PoC-Binärdateien .
• Aktivieren Sie ASR-Regeln (Attack Surface Reduction), die den Diebstahl von Anmeldeinformationen und nicht vertrauenswürdige Prozesse blockieren können – auch wenn diese die TOCTOU-Race-Condition möglicherweise nicht direkt stoppen .
• Überwachen Sie auf bekannte Exploit-Artefakte. Der Exploit stützt sich auf die Erstellung bestimmter Oplocks und symbolischer Links. Implementieren Sie EDR-Regeln, die auf anomale Oplock-Nutzung und unerwartete Symlink-Erstellung durch Nicht-SYSTEM-Prozesse aufmerksam machen .
• Priorisieren Sie die Einschränkung des physischen/logischen Zugriffs auf Windows-Endpunkte für nicht vertrauenswürdige oder nicht überprüfte Benutzer. Dies ist die zuverlässigste vorläufige Kontrolle, da die Schwachstelle lokale Codeausführung erfordert .
• Verwenden Sie Modelle der geringsten Privilegien – gewähren Sie Standardbenutzern keine lokalen Admin-Rechte, auch wenn dies den Exploit nicht verhindert (er eskaliert von einem Standardbenutzer zu SYSTEM) .