Wie RoguePlanet SYSTEM-Rechte verschafft

RoguePlanet ist ein Exploit zur lokalen Rechteausweitung (Local Privilege Escalation, LPE), der eine Race Condition in der Bereinigungslogik von Microsoft Defender ausnutzt . Wenn Defender eine schädliche Datei erkennt – insbesondere auf einem entfernten SMB-Server –, prüft er den Dateipfad vor der Aktion, etwa dem Quarantäne-Stellen oder Löschen. Die Schwachstelle liegt darin, dass Defender den Pfad im Moment der Ausführung nicht erneut validiert. Dadurch entsteht ein schmales Zeitfenster .

Ein Angreifer, der diese Race Condition für sich entscheidet, kann Defender dazu bringen, eigene legitime Dateien zu überschreiben oder beliebigen Code auszuführen und letztlich eine Eingabeaufforderung mit SYSTEM-Rechten zu starten . Damit hat der Angreifer die vollständige Kontrolle über das System. Allerdings ist der Ansatz mit einem erheblichen Nachteil behaftet: Der Forscher selbst bezeichnete den Exploit als unzuverlässig – „ein Glückstreffer“, der auf manchen Rechnern zu 100 Prozent funktioniere, auf anderen jedoch vollständig versage .

Mehrere technische Details definieren die Bedrohung:

• Erforderlicher Erstzugriff: Ein Angreifer muss bereits über eingeschränkte Rechte auf dem Zielsystem verfügen, bevor er die Rechteausweitung versuchen kann .
• Unabhängige Bestätigung: Die Sicherheitsfirma ThreatLocker konnte den Exploit auf Systemen mit allen Juni-Updates 2026 erfolgreich reproduzieren .
• Derzeit kein Patch: Zum Zeitpunkt der Veröffentlichung waren vollständig gepatchte Windows 10- und Windows 11-Systeme verwundbar; ein Patch lag nicht vor .

Die Technik knüpft an frühere Veröffentlichungen von Nightmare Eclipse an, etwa BlueHammer (CVE-2026-33825), der ebenfalls eine TOCTOU-Race-Condition (Time-of-Check to Time-of-Use) im Bereinigungsprozess von Defender ausnutzte .

Ein Exploit, der den Patchday überschatten soll

Der Juni-Patchday 2026 war mit 200 behobenen Schwachstellen der größte in der Geschichte von Microsoft. Darunter waren Patches für zwei Defender-Lücken – BlueHammer und RedSun –, die Nightmare Eclipse in den Vormonaten öffentlich gemacht hatte . Der Umfang des Updates sollte offenbar einen umfassenden Sicherheitskurs signalisieren.

Rapid7 merkte an, dass drei der öffentlich bekannten Schwachstellen im Juni-Update direkt mit der Auseinandersetzung um Nightmare Eclipse zusammenhingen . Die Reaktion des Forschers kam postwendend und war inszeniert: Bereits am 28. Mai hatte ein Beitrag einen „knochenbrecherischen“ Zero-Drop zum Patchday angekündigt . Die Veröffentlichung von RoguePlanet nur Stunden nach den Patches war die klare Ansage, dass der Prozess nicht ausreicht .

Der monatelange Streit hinter dem Exploit

RoguePlanet ist kein isoliertes Ereignis. Es ist der siebte Zero-Day, den Nightmare Eclipse seit April 2026 veröffentlicht hat – jeder ein weiterer Schritt in einer erbitterten Auseinandersetzung mit Microsoft, die auch die übrige Sicherheitsszene in ihren Bann zieht .

Die Vorwürfe des Forschers

Nightmare Eclipse – auch unter den Pseudonymen Chaotic Eclipse und MSNightmare bekannt – gibt an, wiederholt Schwachstellenmeldungen über das offizielle MSRC-Portal von Microsoft eingereicht zu haben. Diese seien ignoriert, kommentarlos geschlossen oder mit abweisenden Antworten abgetan worden . Darüber hinaus behauptet der Forscher, Microsoft habe seine Zugänge zu GitHub, GitLab und dem MSRC-Portal deaktiviert, sodass ihm alle offiziellen Meldewege abgeschnitten worden seien . Öffentlich gedemütigt und ohne Ausweg, so die Darstellung, begann der Forscher, vollständige Zero-Day-Exploits mit funktionsfähigem Proof-of-Code zu veröffentlichen .

Die Kaskade der Zero-Days

Vor RoguePlanet waren sechs Schwachstellen öffentlich bekannt geworden, deren Umfang stetig zunahm:

• BlueHammer (CVE-2026-33825) – Eine Race Condition in Defender, die zur Rechteausweitung führt
• RedSun (CVE-2026-41091) – Ein weiterer LPE-Fehler in Defender
• UnDefend (CVE-2026-45498) – Eine dritte Defender-Lücke
• YellowKey, GreenPlasma und MiniPlasma – Fehler in Komponenten wie BitLocker und CTF

Bis Ende Mai wurden drei dieser Lücken – BlueHammer, RedSun und UnDefend – nachweislich aktiv ausgenutzt. Die US-Behörde CISA (Cybersecurity and Infrastructure Security Agency) nahm sie in ihren Katalog bekannter ausgenutzter Schwachstellen auf .

Microsofts Reaktion und Kehrtwende

Microsoft reagierte zunächst scharf. In einem Blogbeitrag verurteilte der Konzern die unkoordinierten Veröffentlichungen als „unverantwortlich“ und warnte, sie setzten Kunden vor Verfügbarkeit von Patches einem erheblichen Risiko aus . Ende Mai eskalierte die Situation, als Microsoft mit der Einschaltung der Strafverfolgungsbehörden drohte – ein Schritt, der umgehend heftige Kritik aus der Sicherheitsgemeinschaft auslöste .

Kritiker argumentierten, dass Microsofts Umgang mit den ursprünglichen Meldungen – Ignorieren, Schließen und Sperren der Forscherkonten – die eigentliche Ursache für die öffentlichen Veröffentlichungen sei . Der Druck zeigte Wirkung: Am 2. Juni ruderte Microsoft öffentlich zurück und erklärte, man habe „nicht die Absicht, gegen Personen vorzugehen, die Sicherheitsforschung betreiben oder veröffentlichen“ . Der Schaden war jedoch bereits angerichtet, und der angekündigte Patchday-Drop erfolgte wie geplant.

RoguePlanet ist das handfeste Produkt einer gestörten Meldekette. Er demonstriert einen funktionsfähigen Exploit auf Systemen, die nach offizieller Lesart vollständig sicher waren. Für Administratoren und Sicherheitsverantwortliche bleibt die Lehre, dass der Patchday allein keine vollständige Sicherheitsgrenze darstellt, solange ungelöste Race Conditions in zentralen Sicherheitsprodukten ausnutzbar bleiben.

Wie RoguePlanet SYSTEM-Rechte verschafft

RoguePlanet ist ein Exploit zur lokalen Rechteausweitung (Local Privilege Escalation, LPE), der eine Race Condition in der Bereinigungslogik von Microsoft Defender ausnutzt . Wenn Defender eine schädliche Datei erkennt – insbesondere auf einem entfernten SMB-Server –, prüft er den Dateipfad vor der Aktion, etwa dem Quarantäne-Stellen oder Löschen. Die Schwachstelle liegt darin, dass Defender den Pfad im Moment der Ausführung nicht erneut validiert. Dadurch entsteht ein schmales Zeitfenster .

Ein Angreifer, der diese Race Condition für sich entscheidet, kann Defender dazu bringen, eigene legitime Dateien zu überschreiben oder beliebigen Code auszuführen und letztlich eine Eingabeaufforderung mit SYSTEM-Rechten zu starten . Damit hat der Angreifer die vollständige Kontrolle über das System. Allerdings ist der Ansatz mit einem erheblichen Nachteil behaftet: Der Forscher selbst bezeichnete den Exploit als unzuverlässig – „ein Glückstreffer“, der auf manchen Rechnern zu 100 Prozent funktioniere, auf anderen jedoch vollständig versage .

Mehrere technische Details definieren die Bedrohung:

• Erforderlicher Erstzugriff: Ein Angreifer muss bereits über eingeschränkte Rechte auf dem Zielsystem verfügen, bevor er die Rechteausweitung versuchen kann .
• Unabhängige Bestätigung: Die Sicherheitsfirma ThreatLocker konnte den Exploit auf Systemen mit allen Juni-Updates 2026 erfolgreich reproduzieren .
• Derzeit kein Patch: Zum Zeitpunkt der Veröffentlichung waren vollständig gepatchte Windows 10- und Windows 11-Systeme verwundbar; ein Patch lag nicht vor .

Die Technik knüpft an frühere Veröffentlichungen von Nightmare Eclipse an, etwa BlueHammer (CVE-2026-33825), der ebenfalls eine TOCTOU-Race-Condition (Time-of-Check to Time-of-Use) im Bereinigungsprozess von Defender ausnutzte .

Ein Exploit, der den Patchday überschatten soll

Der Juni-Patchday 2026 war mit 200 behobenen Schwachstellen der größte in der Geschichte von Microsoft. Darunter waren Patches für zwei Defender-Lücken – BlueHammer und RedSun –, die Nightmare Eclipse in den Vormonaten öffentlich gemacht hatte . Der Umfang des Updates sollte offenbar einen umfassenden Sicherheitskurs signalisieren.

Rapid7 merkte an, dass drei der öffentlich bekannten Schwachstellen im Juni-Update direkt mit der Auseinandersetzung um Nightmare Eclipse zusammenhingen . Die Reaktion des Forschers kam postwendend und war inszeniert: Bereits am 28. Mai hatte ein Beitrag einen „knochenbrecherischen“ Zero-Drop zum Patchday angekündigt . Die Veröffentlichung von RoguePlanet nur Stunden nach den Patches war die klare Ansage, dass der Prozess nicht ausreicht .

Der monatelange Streit hinter dem Exploit

RoguePlanet ist kein isoliertes Ereignis. Es ist der siebte Zero-Day, den Nightmare Eclipse seit April 2026 veröffentlicht hat – jeder ein weiterer Schritt in einer erbitterten Auseinandersetzung mit Microsoft, die auch die übrige Sicherheitsszene in ihren Bann zieht .

Die Vorwürfe des Forschers

Nightmare Eclipse – auch unter den Pseudonymen Chaotic Eclipse und MSNightmare bekannt – gibt an, wiederholt Schwachstellenmeldungen über das offizielle MSRC-Portal von Microsoft eingereicht zu haben. Diese seien ignoriert, kommentarlos geschlossen oder mit abweisenden Antworten abgetan worden . Darüber hinaus behauptet der Forscher, Microsoft habe seine Zugänge zu GitHub, GitLab und dem MSRC-Portal deaktiviert, sodass ihm alle offiziellen Meldewege abgeschnitten worden seien . Öffentlich gedemütigt und ohne Ausweg, so die Darstellung, begann der Forscher, vollständige Zero-Day-Exploits mit funktionsfähigem Proof-of-Code zu veröffentlichen .

Die Kaskade der Zero-Days

Vor RoguePlanet waren sechs Schwachstellen öffentlich bekannt geworden, deren Umfang stetig zunahm:

• BlueHammer (CVE-2026-33825) – Eine Race Condition in Defender, die zur Rechteausweitung führt
• RedSun (CVE-2026-41091) – Ein weiterer LPE-Fehler in Defender
• UnDefend (CVE-2026-45498) – Eine dritte Defender-Lücke
• YellowKey, GreenPlasma und MiniPlasma – Fehler in Komponenten wie BitLocker und CTF

Bis Ende Mai wurden drei dieser Lücken – BlueHammer, RedSun und UnDefend – nachweislich aktiv ausgenutzt. Die US-Behörde CISA (Cybersecurity and Infrastructure Security Agency) nahm sie in ihren Katalog bekannter ausgenutzter Schwachstellen auf .

Microsofts Reaktion und Kehrtwende

Microsoft reagierte zunächst scharf. In einem Blogbeitrag verurteilte der Konzern die unkoordinierten Veröffentlichungen als „unverantwortlich“ und warnte, sie setzten Kunden vor Verfügbarkeit von Patches einem erheblichen Risiko aus . Ende Mai eskalierte die Situation, als Microsoft mit der Einschaltung der Strafverfolgungsbehörden drohte – ein Schritt, der umgehend heftige Kritik aus der Sicherheitsgemeinschaft auslöste .

Kritiker argumentierten, dass Microsofts Umgang mit den ursprünglichen Meldungen – Ignorieren, Schließen und Sperren der Forscherkonten – die eigentliche Ursache für die öffentlichen Veröffentlichungen sei . Der Druck zeigte Wirkung: Am 2. Juni ruderte Microsoft öffentlich zurück und erklärte, man habe „nicht die Absicht, gegen Personen vorzugehen, die Sicherheitsforschung betreiben oder veröffentlichen“ . Der Schaden war jedoch bereits angerichtet, und der angekündigte Patchday-Drop erfolgte wie geplant.

RoguePlanet ist das handfeste Produkt einer gestörten Meldekette. Er demonstriert einen funktionsfähigen Exploit auf Systemen, die nach offizieller Lesart vollständig sicher waren. Für Administratoren und Sicherheitsverantwortliche bleibt die Lehre, dass der Patchday allein keine vollständige Sicherheitsgrenze darstellt, solange ungelöste Race Conditions in zentralen Sicherheitsprodukten ausnutzbar bleiben.