Näin RoguePlanet toimii

RoguePlanet on paikallinen oikeuksienkorotushyökkäys eli LPE-haavoittuvuus (local privilege escalation). Se kohdistuu Microsoft Defenderin tapaan käsitellä haitalliseksi tunnistettuja tiedostoja .

Kun Defender löytää epäilyttävän tiedoston – erityisesti etäverkossa sijaitsevalla SMB-palvelimella olevan tiedoston – se tarkistaa tiedostopolun ennen kuin yrittää esimerkiksi siirtää tiedoston karanteeniin tai poistaa sen. Haavoittuvuus syntyy siitä, ettei polkua tarkisteta uudelleen juuri kirjoitusoperaation hetkellä. Tämä avaa lyhyen ajoitusikkunan, jota hyökkääjä voi yrittää hyödyntää .

Jos hyökkääjä onnistuu voittamaan tämän niin sanotun kilpailutilanteen, Defender voidaan saada kirjoittamaan omien laillisten tiedostojensa päälle tai suorittamaan hyökkääjän koodia. Lopputuloksena voi olla komentokehote SYSTEM-oikeuksilla, jotka antavat käytännössä korkeimman mahdollisen käyttöoikeustason Windows-koneessa .

Hyökkäyksellä on kuitenkin merkittävä rajoite: sitä ei voi käynnistää täysin etäältä ilman ennakkopääsyä. Hyökkääjällä täytyy jo olla kohdekoneella vähäiset käyttöoikeudet omaava tili tai muu paikallinen pääsy . Lisäksi tutkija kuvasi hyväksikäyttöä epäluotettavaksi ja luonnehti sitä osumaksi tai hutiksi. Joillakin koneilla onnistumisprosentti oli tutkijan mukaan 100, kun taas toisilla hyökkäys ei onnistunut lainkaan .

Tietoturvayhtiö ThreatLocker kertoi kuitenkin pystyneensä toisintamaan hyökkäyksen järjestelmissä, joihin kaikki kesäkuun 2026 päivitykset oli asennettu . Julkistamisen aikaan ongelmaan ei ollut saatavilla korjausta .

Miksi julkaisu ajoitettiin päivitystiistaille?

Microsoftin kesäkuun päivityspaketti oli yhtiön suurin tähän mennessä. Se sisälsi korjaukset 200 haavoittuvuuteen, joista kolme oli julkistettuja nollapäivähaavoittuvuuksia . Mukana olivat myös Defenderin BlueHammer- ja RedSun-haavoittuvuudet, joita Nightmare Eclipse oli aiemmin tuonut julki .

Rapid7:n mukaan kolme kesäkuun päivityskokonaisuuteen liittynyttä julkista haavoittuvuutta kytkeytyi suoraan Nightmare Eclipseen liittyvään kiistaan . Tutkija oli luvannut 28. toukokuuta julkaista päivitystiistaina niin sanotun ”luut murskaavan” nollapäivähaavoittuvuuden .

RoguePlanet julkaistiin lupauksen mukaisesti vain tunteja korjausten saapumisen jälkeen . Ajankohta teki haavoittuvuudesta erityisen näkyvän: Microsoft oli juuri viestinyt laajasta korjauskierroksesta, kun uusi Defender-hyökkäys osoitti, että täysin päivitetty järjestelmä ei vielä ollut tämän ongelman osalta suojattu.

Kuusi aiempaa nollapäivähaavoittuvuutta

RoguePlanet on seitsemäs Nightmare Eclipsen huhtikuusta 2026 lähtien julkistama nollapäivähaavoittuvuus . Aiempiin kuuluvat:

• BlueHammer (CVE-2026-33825) – Defenderin kilpailutilanne, joka mahdollistaa paikallisen oikeuksien korottamisen
• RedSun (CVE-2026-41091) – toinen Defenderin oikeuksienkorotusongelma
• UnDefend (CVE-2026-45498) – kolmas Defenderiin liittyvä haavoittuvuus
• YellowKey, GreenPlasma ja MiniPlasma – Windows-komponentteihin, kuten BitLockeriin ja CTF:ään, liittyviä ongelmia

Toukokuun loppuun mennessä BlueHammerin, RedSunin ja UnDefendin kerrottiin olevan aktiivisessa käytössä oikeissa hyökkäyksissä. Yhdysvaltain kyberturvallisuus- ja infrastruktuuriturvallisuusvirasto CISA lisäsi ne tunnettujen hyväksikäytettyjen haavoittuvuuksien luetteloonsa .

Kiista Microsoftin ilmoitusprosessista

Nightmare Eclipse käyttää myös nimiä Chaotic Eclipse ja MSNightmare. Tutkijan omien väitteiden mukaan hän ilmoitti haavoittuvuuksista Microsoftin virallisen MSRC-portaalin kautta, mutta ilmoitukset jätettiin huomiotta, suljettiin ilman selitystä tai niihin vastattiin vähättelevästi .

Tutkija väittää lisäksi, että Microsoft sulki hänen tilinsä GitHubissa, GitLabissa ja MSRC-portaalissa. Tämä olisi katkaissut käytännössä viralliset kanavat, joiden kautta uusia haavoittuvuuksia olisi voinut ilmoittaa . Tutkija kertoi kokeneensa tilanteen nöyryyttävänä ja alkoi tämän jälkeen julkaista haavoittuvuuksia suoraan verkossa, osin toimivien proof-of-concept-koodien eli konseptitodisteiden kanssa .

Microsoft puolestaan tuomitsi koordinoimattomat julkistukset ”vastuuttomina” ja varoitti, että teknisten yksityiskohtien ja hyökkäyskoodin julkaiseminen ennen korjausta altistaa asiakkaat merkittävälle riskille . Toukokuun lopulla yhtiö uhkasi viedä asian lainvalvontaviranomaisille rikostutkintaa varten .

Turvallisuusyhteisön vastareaktio oli voimakas. Kriitikoiden mukaan Microsoftin oma tapa käsitellä alkuperäisiä ilmoituksia – niiden sivuuttaminen, sulkeminen ja tutkijan tilien poistaminen – oli osaltaan johtanut julkistuksiin .

Microsoft lievensi kantaansa 2. kesäkuuta. Yhtiö ilmoitti, ettei sillä ollut ”aikomusta ryhtyä toimiin henkilöitä vastaan, jotka tekevät tai julkaisevat tietoturvatutkimusta” . Julkinen kiista ei kuitenkaan päättynyt, ja RoguePlanet ilmestyi pian tämän jälkeen päivitystiistain yhteydessä.

Mitä RoguePlanet merkitsee puolustajille?

RoguePlanet osoittaa, miksi kuukausittaiset Windows-päivitykset eivät yksinään muodosta täydellistä tietoturvarajaa. Päivitykset ovat edelleen keskeinen suojauskeino, mutta tässä tapauksessa uusi, vielä korjaamaton kilpailutilanne Defenderin ydintoiminnossa saattoi tutkijan ja riippumattoman testin mukaan antaa paikalliselle hyökkääjälle SYSTEM-tason oikeudet myös päivitetyssä koneessa .

Organisaatioiden kannalta keskeinen havainto on, että RoguePlanet vaatii jo jonkinlaisen pääsyn kohdekoneelle. Siksi käyttöoikeuksien rajoittaminen, päätelaitteiden valvonta ja epäilyttävän paikallisen toiminnan seuranta ovat tärkeitä myös silloin, kun Windows-päivitykset on asennettu ajallaan.

Näin RoguePlanet toimii

RoguePlanet on paikallinen oikeuksienkorotushyökkäys eli LPE-haavoittuvuus (local privilege escalation). Se kohdistuu Microsoft Defenderin tapaan käsitellä haitalliseksi tunnistettuja tiedostoja .

Kun Defender löytää epäilyttävän tiedoston – erityisesti etäverkossa sijaitsevalla SMB-palvelimella olevan tiedoston – se tarkistaa tiedostopolun ennen kuin yrittää esimerkiksi siirtää tiedoston karanteeniin tai poistaa sen. Haavoittuvuus syntyy siitä, ettei polkua tarkisteta uudelleen juuri kirjoitusoperaation hetkellä. Tämä avaa lyhyen ajoitusikkunan, jota hyökkääjä voi yrittää hyödyntää .

Jos hyökkääjä onnistuu voittamaan tämän niin sanotun kilpailutilanteen, Defender voidaan saada kirjoittamaan omien laillisten tiedostojensa päälle tai suorittamaan hyökkääjän koodia. Lopputuloksena voi olla komentokehote SYSTEM-oikeuksilla, jotka antavat käytännössä korkeimman mahdollisen käyttöoikeustason Windows-koneessa .

Hyökkäyksellä on kuitenkin merkittävä rajoite: sitä ei voi käynnistää täysin etäältä ilman ennakkopääsyä. Hyökkääjällä täytyy jo olla kohdekoneella vähäiset käyttöoikeudet omaava tili tai muu paikallinen pääsy . Lisäksi tutkija kuvasi hyväksikäyttöä epäluotettavaksi ja luonnehti sitä osumaksi tai hutiksi. Joillakin koneilla onnistumisprosentti oli tutkijan mukaan 100, kun taas toisilla hyökkäys ei onnistunut lainkaan .

Tietoturvayhtiö ThreatLocker kertoi kuitenkin pystyneensä toisintamaan hyökkäyksen järjestelmissä, joihin kaikki kesäkuun 2026 päivitykset oli asennettu . Julkistamisen aikaan ongelmaan ei ollut saatavilla korjausta .

Miksi julkaisu ajoitettiin päivitystiistaille?

Microsoftin kesäkuun päivityspaketti oli yhtiön suurin tähän mennessä. Se sisälsi korjaukset 200 haavoittuvuuteen, joista kolme oli julkistettuja nollapäivähaavoittuvuuksia . Mukana olivat myös Defenderin BlueHammer- ja RedSun-haavoittuvuudet, joita Nightmare Eclipse oli aiemmin tuonut julki .

Rapid7:n mukaan kolme kesäkuun päivityskokonaisuuteen liittynyttä julkista haavoittuvuutta kytkeytyi suoraan Nightmare Eclipseen liittyvään kiistaan . Tutkija oli luvannut 28. toukokuuta julkaista päivitystiistaina niin sanotun ”luut murskaavan” nollapäivähaavoittuvuuden .

RoguePlanet julkaistiin lupauksen mukaisesti vain tunteja korjausten saapumisen jälkeen . Ajankohta teki haavoittuvuudesta erityisen näkyvän: Microsoft oli juuri viestinyt laajasta korjauskierroksesta, kun uusi Defender-hyökkäys osoitti, että täysin päivitetty järjestelmä ei vielä ollut tämän ongelman osalta suojattu.

Kuusi aiempaa nollapäivähaavoittuvuutta

RoguePlanet on seitsemäs Nightmare Eclipsen huhtikuusta 2026 lähtien julkistama nollapäivähaavoittuvuus . Aiempiin kuuluvat:

• BlueHammer (CVE-2026-33825) – Defenderin kilpailutilanne, joka mahdollistaa paikallisen oikeuksien korottamisen
• RedSun (CVE-2026-41091) – toinen Defenderin oikeuksienkorotusongelma
• UnDefend (CVE-2026-45498) – kolmas Defenderiin liittyvä haavoittuvuus
• YellowKey, GreenPlasma ja MiniPlasma – Windows-komponentteihin, kuten BitLockeriin ja CTF:ään, liittyviä ongelmia

Toukokuun loppuun mennessä BlueHammerin, RedSunin ja UnDefendin kerrottiin olevan aktiivisessa käytössä oikeissa hyökkäyksissä. Yhdysvaltain kyberturvallisuus- ja infrastruktuuriturvallisuusvirasto CISA lisäsi ne tunnettujen hyväksikäytettyjen haavoittuvuuksien luetteloonsa .

Kiista Microsoftin ilmoitusprosessista

Nightmare Eclipse käyttää myös nimiä Chaotic Eclipse ja MSNightmare. Tutkijan omien väitteiden mukaan hän ilmoitti haavoittuvuuksista Microsoftin virallisen MSRC-portaalin kautta, mutta ilmoitukset jätettiin huomiotta, suljettiin ilman selitystä tai niihin vastattiin vähättelevästi .

Tutkija väittää lisäksi, että Microsoft sulki hänen tilinsä GitHubissa, GitLabissa ja MSRC-portaalissa. Tämä olisi katkaissut käytännössä viralliset kanavat, joiden kautta uusia haavoittuvuuksia olisi voinut ilmoittaa . Tutkija kertoi kokeneensa tilanteen nöyryyttävänä ja alkoi tämän jälkeen julkaista haavoittuvuuksia suoraan verkossa, osin toimivien proof-of-concept-koodien eli konseptitodisteiden kanssa .

Microsoft puolestaan tuomitsi koordinoimattomat julkistukset ”vastuuttomina” ja varoitti, että teknisten yksityiskohtien ja hyökkäyskoodin julkaiseminen ennen korjausta altistaa asiakkaat merkittävälle riskille . Toukokuun lopulla yhtiö uhkasi viedä asian lainvalvontaviranomaisille rikostutkintaa varten .

Turvallisuusyhteisön vastareaktio oli voimakas. Kriitikoiden mukaan Microsoftin oma tapa käsitellä alkuperäisiä ilmoituksia – niiden sivuuttaminen, sulkeminen ja tutkijan tilien poistaminen – oli osaltaan johtanut julkistuksiin .

Microsoft lievensi kantaansa 2. kesäkuuta. Yhtiö ilmoitti, ettei sillä ollut ”aikomusta ryhtyä toimiin henkilöitä vastaan, jotka tekevät tai julkaisevat tietoturvatutkimusta” . Julkinen kiista ei kuitenkaan päättynyt, ja RoguePlanet ilmestyi pian tämän jälkeen päivitystiistain yhteydessä.

Mitä RoguePlanet merkitsee puolustajille?

RoguePlanet osoittaa, miksi kuukausittaiset Windows-päivitykset eivät yksinään muodosta täydellistä tietoturvarajaa. Päivitykset ovat edelleen keskeinen suojauskeino, mutta tässä tapauksessa uusi, vielä korjaamaton kilpailutilanne Defenderin ydintoiminnossa saattoi tutkijan ja riippumattoman testin mukaan antaa paikalliselle hyökkääjälle SYSTEM-tason oikeudet myös päivitetyssä koneessa .

Organisaatioiden kannalta keskeinen havainto on, että RoguePlanet vaatii jo jonkinlaisen pääsyn kohdekoneelle. Siksi käyttöoikeuksien rajoittaminen, päätelaitteiden valvonta ja epäilyttävän paikallisen toiminnan seuranta ovat tärkeitä myös silloin, kun Windows-päivitykset on asennettu ajallaan.