Haavoittuvuus ei ole etähyökkäys sellaisenaan: hyökkääjällä on oltava paikallinen käyttäjätili tai muu tapa suorittaa koodia koneella. Hyväksikäyttö ei kuitenkaan edellytä järjestelmänvalvojan oikeuksia, eikä käyttäjän tarvitse hyväksyä erillistä toimintoa . Tutkijoiden mukaan hyökkäys toimii riippumatta siitä, onko Defenderin reaaliaikainen suojaus käytössä vai pois käytöstä .

Näin TOCTOU-kilpailutilanne toimii

RoguePlanet perustuu Time-of-Check to Time-of-Use -kilpailutilanteeseen eli TOCTOU-haavoittuvuuteen. Ongelman taustalla on myös CWE-59-luokan virheellinen linkkien käsittely ennen tiedoston käyttöä .

Yksinkertaistettuna hyökkäys etenee näin:

1. Tavallinen käyttäjä luo tiedoston tai symbolisen linkin, jonka Defenderin moottori tarkistaa.
2. Tarkistuksen jälkeen mutta ennen tiedoston käyttöä hyökkääjä vaihtaa kohteen toiseen sijaintiin.
3. Hyökkääjä käyttää niin sanottua oplock-mekanismia ajoituksen hallintaan ja yrittää voittaa tämän hyvin lyhyen kilpailutilanteen .
4. Kun kilpailu onnistuu, SYSTEM-oikeuksilla toimiva Malware Protection Engine ohjataan tekemään tiedosto-operaatio hyökkääjän valitsemaan sijaintiin.
5. Tämän seurauksena hyökkääjä voi käynnistää komentoshellin SYSTEM-oikeuksilla .

Ongelman vakavuus johtuu siitä, että Defenderin moottori toimii tarkoituksella korkeimmalla paikallisella käyttöoikeustasolla. Hyökkääjä ei siis murra suoraan Windowsin ydintä, vaan käyttää tietoturvakomponentin omaa etuoikeutettua toimintaa hyväkseen.

CVSS-arvio ja vakavuus

Microsoftin CVSS 3.1 -perusarvio on 7,8, mikä tarkoittaa korkeaa vakavuusluokkaa. Microsoft pitää hyökkäyksen monimutkaisuutta matalana, koska oplock-mekanismi tekee kilpailutilanteen ajoituksesta luotettavamman. Microsoftin ajallinen CVSS-arvio on 7,6 .

NVD-tietokanta on arvioinut haavoittuvuuden peruspisteiksi 7,0, mutta pitää hyökkäyksen monimutkaisuutta korkeana kilpailutilanteen teknisen vaikeuden vuoksi . Microsoftin Exploitability Index -arviossa haavoittuvuuden hyväksikäyttö on luokiteltu ilmauksella ”Exploitation More Likely”, eli hyväksikäyttöä pidetään todennäköisempänä .

Julkistamisen aikajana

Toimiva hyväksikäyttö oli siis julkisesti saatavilla noin kuusi päivää ennen Microsoftin virallista vahvistusta. Heinäkuun alussa haavoittuvuuden oli raportoitu olleen julkinen noin kuukauden ajan ilman korjausta .

Kuka RoguePlanetin julkaisi?

Haavoittuvuuden löysi ja julkaisi tietoturvatutkija, joka käyttää nimiä Nightmare Eclipse ja Chaotic Eclipse . RoguePlanet on kuvattu tutkijan Microsoft Defenderiin kohdistuvan kampanjan seitsemänneksi hyväksikäytöksi .

Aiempiin tutkijan julkaisemiin Defender-ongelmiin on liitetty muun muassa nimet BlueHammer, RedSun, UnDefend, YellowKey ja GreenPlasma . TechRadarin mukaan RoguePlanet kuuluu pitkäkestoiseen tutkimuskampanjaan, joka kohdistuu Defenderin hyökkäyspintaan . Ulkopuoliset ryhmät, kuten ThreatLocker, ovat raportoineet julkisen konseptitodistuksen eli PoC:n toistamisesta .

Miksi paikkausviive herätti kritiikkiä?

Tietoturvayhteisön kritiikki kohdistui ennen kaikkea siihen, että toimiva hyväksikäyttö oli kaikkien saatavilla samalla, kun haavoittuvuus oli Microsoft Defenderin keskeisessä moottorissa eikä korjausta ollut tarjolla.

• Red Hound huomautti, että jokaisen Windows-kopion mukana toimitetun virustorjunnan toimiva hyväksikäyttö oli ollut julkinen yli kaksi viikkoa ilman paikkausta .
• Cloud Security Alliance kutsui tilannetta hälyttäväksi: yhdeksän päivää julkistamisen jälkeen Microsoft ei ollut ilmoittanut korjausta tai erillisen out-of-band-päivityksen aikataulua .
• cve.tools arvioi 1. heinäkuuta, että paikkausta ei vieläkään ollut. Sen mukaan näin pitkä altistumisaika oli poikkeuksellinen julkisesti hyväksikäytettävän, keskeiseen tietoturvakomponenttiin kohdistuvan nollapäivähaavoittuvuuden kohdalla .

Tilanteen ironia ei jäänyt huomaamatta: hyökkäysreitti kulkee Microsoftin oman virustorjuntamoottorin kautta, vaikka Defenderin pitäisi toimia yhtenä Windowsin tärkeimmistä suojakerroksista. Defender on oletusarvoisesti mukana Windows-asennuksissa, joten haavoittuvuuden potentiaalinen kohdejoukko on laaja .

Mitä organisaatioiden kannattaa tehdä?

Asenna korjaus heti, kun se julkaistaan

Microsoft on ilmoittanut työskentelevänsä tietoturvapäivityksen parissa. Kun päivitys tulee saataville, Malware Protection Engine eli MsMpEng kannattaa päivittää viipymättä Windows Updaten tai Microsoft Update Catalogin kautta .

10. heinäkuuta 2026 mennessä virallista korjausta ei kuitenkaan ollut julkaistu. Organisaatioiden kannattaa seurata CVE-tietuetta ja Microsoft Security Response Centerin eli MSRC:n tiedotteita mahdollisen erillisen hätäpäivityksen varalta .

Rajoita paikallista pääsyä

Koska hyväksikäyttö edellyttää paikallista kirjautumista ja koodin suorittamista, rajoita pääsyä Windows-työasemille ja -palvelimille. Vähennä tarpeettomia käyttäjätilejä etenkin arkaluonteisissa järjestelmissä .

Fyysisen ja loogisen pääsyn rajoittaminen on tässä tilanteessa tärkeimpiä väliaikaisia suojauksia. Pelkkä verkkopalvelun suojaaminen ei riitä, jos hyökkääjä pääsee suorittamaan ohjelman itse päätelaitteella.

Käytä sovellusten sallintalistoja

Ota käyttöön AppLocker tai WDAC (Windows Defender Application Control), jotta luvattomat ohjelmat, skriptit ja epäluotetut PoC-binäärit eivät pääse käynnistymään .

Hyödynnä ASR-sääntöjä ja EDR-valvontaa

ASR-säännöt (Attack Surface Reduction) voivat estää esimerkiksi tunnistetietojen varastamista ja epäluotettujen prosessien toimintaa. Ne eivät välttämättä pysäytä juuri tätä TOCTOU-kilpailutilannetta, joten niitä ei pidä pitää täydellisenä korvaavana ratkaisuna .

EDR-valvonnassa kannattaa tarkkailla poikkeavaa oplock-käyttöä sekä symbolisten linkkien odottamatonta luomista muiden kuin SYSTEM-prosessien toimesta .

Pidä käyttöoikeudet vähäisinä – mutta älä oleta sen yksin riittävän

Noudata vähimpien oikeuksien periaatetta äläkä anna tavallisille käyttäjille paikallisen järjestelmänvalvojan oikeuksia. Tämä on silti tärkeä peruskäytäntö, mutta se ei yksin estä RoguePlanetia: haavoittuvuus on suunniteltu nostamaan tavallinen käyttäjä SYSTEM-tasolle ilman valmiita järjestelmänvalvojan oikeuksia .

Haavoittuvuus ei ole etähyökkäys sellaisenaan: hyökkääjällä on oltava paikallinen käyttäjätili tai muu tapa suorittaa koodia koneella. Hyväksikäyttö ei kuitenkaan edellytä järjestelmänvalvojan oikeuksia, eikä käyttäjän tarvitse hyväksyä erillistä toimintoa . Tutkijoiden mukaan hyökkäys toimii riippumatta siitä, onko Defenderin reaaliaikainen suojaus käytössä vai pois käytöstä .

Näin TOCTOU-kilpailutilanne toimii

RoguePlanet perustuu Time-of-Check to Time-of-Use -kilpailutilanteeseen eli TOCTOU-haavoittuvuuteen. Ongelman taustalla on myös CWE-59-luokan virheellinen linkkien käsittely ennen tiedoston käyttöä .

Yksinkertaistettuna hyökkäys etenee näin:

1. Tavallinen käyttäjä luo tiedoston tai symbolisen linkin, jonka Defenderin moottori tarkistaa.
2. Tarkistuksen jälkeen mutta ennen tiedoston käyttöä hyökkääjä vaihtaa kohteen toiseen sijaintiin.
3. Hyökkääjä käyttää niin sanottua oplock-mekanismia ajoituksen hallintaan ja yrittää voittaa tämän hyvin lyhyen kilpailutilanteen .
4. Kun kilpailu onnistuu, SYSTEM-oikeuksilla toimiva Malware Protection Engine ohjataan tekemään tiedosto-operaatio hyökkääjän valitsemaan sijaintiin.
5. Tämän seurauksena hyökkääjä voi käynnistää komentoshellin SYSTEM-oikeuksilla .

Ongelman vakavuus johtuu siitä, että Defenderin moottori toimii tarkoituksella korkeimmalla paikallisella käyttöoikeustasolla. Hyökkääjä ei siis murra suoraan Windowsin ydintä, vaan käyttää tietoturvakomponentin omaa etuoikeutettua toimintaa hyväkseen.

CVSS-arvio ja vakavuus

Microsoftin CVSS 3.1 -perusarvio on 7,8, mikä tarkoittaa korkeaa vakavuusluokkaa. Microsoft pitää hyökkäyksen monimutkaisuutta matalana, koska oplock-mekanismi tekee kilpailutilanteen ajoituksesta luotettavamman. Microsoftin ajallinen CVSS-arvio on 7,6 .

NVD-tietokanta on arvioinut haavoittuvuuden peruspisteiksi 7,0, mutta pitää hyökkäyksen monimutkaisuutta korkeana kilpailutilanteen teknisen vaikeuden vuoksi . Microsoftin Exploitability Index -arviossa haavoittuvuuden hyväksikäyttö on luokiteltu ilmauksella ”Exploitation More Likely”, eli hyväksikäyttöä pidetään todennäköisempänä .

Julkistamisen aikajana

Toimiva hyväksikäyttö oli siis julkisesti saatavilla noin kuusi päivää ennen Microsoftin virallista vahvistusta. Heinäkuun alussa haavoittuvuuden oli raportoitu olleen julkinen noin kuukauden ajan ilman korjausta .

Kuka RoguePlanetin julkaisi?

Haavoittuvuuden löysi ja julkaisi tietoturvatutkija, joka käyttää nimiä Nightmare Eclipse ja Chaotic Eclipse . RoguePlanet on kuvattu tutkijan Microsoft Defenderiin kohdistuvan kampanjan seitsemänneksi hyväksikäytöksi .

Aiempiin tutkijan julkaisemiin Defender-ongelmiin on liitetty muun muassa nimet BlueHammer, RedSun, UnDefend, YellowKey ja GreenPlasma . TechRadarin mukaan RoguePlanet kuuluu pitkäkestoiseen tutkimuskampanjaan, joka kohdistuu Defenderin hyökkäyspintaan . Ulkopuoliset ryhmät, kuten ThreatLocker, ovat raportoineet julkisen konseptitodistuksen eli PoC:n toistamisesta .

Miksi paikkausviive herätti kritiikkiä?

Tietoturvayhteisön kritiikki kohdistui ennen kaikkea siihen, että toimiva hyväksikäyttö oli kaikkien saatavilla samalla, kun haavoittuvuus oli Microsoft Defenderin keskeisessä moottorissa eikä korjausta ollut tarjolla.

• Red Hound huomautti, että jokaisen Windows-kopion mukana toimitetun virustorjunnan toimiva hyväksikäyttö oli ollut julkinen yli kaksi viikkoa ilman paikkausta .
• Cloud Security Alliance kutsui tilannetta hälyttäväksi: yhdeksän päivää julkistamisen jälkeen Microsoft ei ollut ilmoittanut korjausta tai erillisen out-of-band-päivityksen aikataulua .
• cve.tools arvioi 1. heinäkuuta, että paikkausta ei vieläkään ollut. Sen mukaan näin pitkä altistumisaika oli poikkeuksellinen julkisesti hyväksikäytettävän, keskeiseen tietoturvakomponenttiin kohdistuvan nollapäivähaavoittuvuuden kohdalla .

Tilanteen ironia ei jäänyt huomaamatta: hyökkäysreitti kulkee Microsoftin oman virustorjuntamoottorin kautta, vaikka Defenderin pitäisi toimia yhtenä Windowsin tärkeimmistä suojakerroksista. Defender on oletusarvoisesti mukana Windows-asennuksissa, joten haavoittuvuuden potentiaalinen kohdejoukko on laaja .

Mitä organisaatioiden kannattaa tehdä?

Asenna korjaus heti, kun se julkaistaan

Microsoft on ilmoittanut työskentelevänsä tietoturvapäivityksen parissa. Kun päivitys tulee saataville, Malware Protection Engine eli MsMpEng kannattaa päivittää viipymättä Windows Updaten tai Microsoft Update Catalogin kautta .

10. heinäkuuta 2026 mennessä virallista korjausta ei kuitenkaan ollut julkaistu. Organisaatioiden kannattaa seurata CVE-tietuetta ja Microsoft Security Response Centerin eli MSRC:n tiedotteita mahdollisen erillisen hätäpäivityksen varalta .

Rajoita paikallista pääsyä

Koska hyväksikäyttö edellyttää paikallista kirjautumista ja koodin suorittamista, rajoita pääsyä Windows-työasemille ja -palvelimille. Vähennä tarpeettomia käyttäjätilejä etenkin arkaluonteisissa järjestelmissä .

Fyysisen ja loogisen pääsyn rajoittaminen on tässä tilanteessa tärkeimpiä väliaikaisia suojauksia. Pelkkä verkkopalvelun suojaaminen ei riitä, jos hyökkääjä pääsee suorittamaan ohjelman itse päätelaitteella.

Käytä sovellusten sallintalistoja

Ota käyttöön AppLocker tai WDAC (Windows Defender Application Control), jotta luvattomat ohjelmat, skriptit ja epäluotetut PoC-binäärit eivät pääse käynnistymään .

Hyödynnä ASR-sääntöjä ja EDR-valvontaa

ASR-säännöt (Attack Surface Reduction) voivat estää esimerkiksi tunnistetietojen varastamista ja epäluotettujen prosessien toimintaa. Ne eivät välttämättä pysäytä juuri tätä TOCTOU-kilpailutilannetta, joten niitä ei pidä pitää täydellisenä korvaavana ratkaisuna .

EDR-valvonnassa kannattaa tarkkailla poikkeavaa oplock-käyttöä sekä symbolisten linkkien odottamatonta luomista muiden kuin SYSTEM-prosessien toimesta .

Pidä käyttöoikeudet vähäisinä – mutta älä oleta sen yksin riittävän

Noudata vähimpien oikeuksien periaatetta äläkä anna tavallisille käyttäjille paikallisen järjestelmänvalvojan oikeuksia. Tämä on silti tärkeä peruskäytäntö, mutta se ei yksin estä RoguePlanetia: haavoittuvuus on suunniteltu nostamaan tavallinen käyttäjä SYSTEM-tasolle ilman valmiita järjestelmänvalvojan oikeuksia .