Comment fonctionne RoguePlanet : une course TOCTOU dans l'antivirus lui-même

La faille est une condition de compétition (race condition) de type Time-of-Check à Time-of-Use (TOCTOU) due à un problème de résolution de lien incorrecte (CWE-59) . Le moteur anti-malware s'exécute avec les privilèges NT AUTHORITY\SYSTEM par conception. L'exploit met le moteur en compétition avec lui-même :

• Un utilisateur peu privilégié crée un lien symbolique ou un fichier spécialement conçu que le moteur vérifie (Time-of-Check), puis le remplace avant que le moteur ne l'utilise (Time-of-Use).
• En gagnant cette course — en utilisant un verrou d'opportunité (oplock) pour contrôler le timing de manière fiable — l'attaquant redirige l'opération du moteur vers un emplacement arbitraire, comme un répertoire qu'il contrôle .
• Le moteur effectue alors une opération privilégiée (par exemple, écriture ou exécution) sur le chemin choisi par l'attaquant, générant ainsi un shell système avec les privilèges SYSTEM .

L'exploitation est locale — l'attaquant doit déjà avoir un accès utilisateur standard à la machine — mais ne nécessite aucun privilège supplémentaire . Elle fonctionne également que la protection en temps réel de Defender soit activée ou non .

Score CVSS et sévérité

Microsoft attribue un score de base CVSS 3.1 de 7,8 (ÉLEVÉ), avec une complexité d'attaque faible (estimant que l'oplock rend la course fiable). Le NVD liste un score de base de 7,0 (ÉLEVÉ) avec une complexité d'attaque élevée (reconnaissant la difficulté de la course). Le vecteur temporel (E:F/RL:U/RC:C) donne un score temporel de 7,6 selon l'évaluation de Microsoft .

La vulnérabilité est notée "Exploitation plus probable" sur l'index d'exploitabilité de Microsoft .

Chronologie de la divulgation publique

L'écart entre la sortie de l'exploit public et la reconnaissance par Microsoft a été crucial :

L'intervalle entre la publication de l'exploit (10 juin) et la reconnaissance de Microsoft (16 juin) était d'environ 6 jours. Début juillet 2026, l'exploit était public depuis environ un mois sans correctif .

Qui a découvert RoguePlanet : la campagne Nightmare Eclipse

La vulnérabilité a été découverte et rendue publique par un chercheur en sécurité opérant sous les alias Nightmare Eclipse (également connu sous le nom de Chaotic Eclipse) .

Il s'agit du septième exploit de la campagne continue du chercheur ciblant Microsoft Defender. Les failles précédentes divulguées dans Defender comprenaient des vulnérabilités d'élévation de privilèges et de contournement telles que BlueHammer, RedSun, UnDefend, YellowKey et GreenPlasma . TechRadar qualifie RoguePlanet de faisant partie "d'une campagne de recherche soutenue contre la surface d'attaque de Defender" . Des reproductions validées par des groupes tiers comme ThreatLocker confirment la fiabilité de la chaîne d'exploitation .

Critiques de la communauté concernant le retard du correctif

Le retard prolongé du correctif a suscité de vives critiques de la part de la communauté de la sécurité :

• Red Hound a décrit la situation sans ambages : "Un exploit fonctionnel pour l'antivirus livré avec chaque copie de Windows est public depuis plus de deux semaines, et il n'y a toujours pas de correctif" .
• Cloud Security Alliance a noté qu'au 19 juin — neuf jours après la divulgation — aucun correctif ni calendrier de publication exceptionnelle n'avait été annoncé, qualifiant la fenêtre d'"alarmante" pour une vulnérabilité présente sur tous les systèmes Windows, qu'ils soient grand public ou d'entreprise .
• cve.tools a rapporté qu'au 1er juillet 2026 (21 jours après la divulgation), aucun correctif n'existait, et que l'exposition prolongée était "inhabituelle pour un zero-day publiquement exploité dans un composant de sécurité essentiel" .
• De multiples sources ont souligné l'ironie que le propre moteur antivirus de Microsoft — la dernière ligne de défense — soit utilisé comme vecteur de compromission au niveau SYSTEM, et que le manque d'urgence de Microsoft soulève des questions sur ses processus de réponse aux vulnérabilités .

La frustration principale : parce que Defender est activé par défaut sur toutes les installations Windows, la vulnérabilité a une surface d'attaque énorme, et pourtant aucun correctif provisoire (exceptionnel) n'a été émis malgré la disponibilité publique d'un code d'exploitation fonctionnel .

Mesures d'atténuation provisoires et étapes recommandées pour les organisations

Les sources recommandent systématiquement les mesures suivantes jusqu'à ce que Microsoft publie un correctif permanent :

Appliquer le correctif dès sa disponibilité

• Mettez à jour le Microsoft Malware Protection Engine (MsMpEng) dès que Microsoft publie une mise à jour de sécurité. Celle-ci est généralement livrée via Windows Update ou le Microsoft Update Catalog .
• Aucun correctif n'existait au 10 juillet 2026 — surveillez l'avis CVE et le Microsoft Security Response Center (MSRC) pour une version exceptionnelle .

Mesures d'atténuation provisoires (aucun correctif disponible)

• Limitez les comptes d'utilisateurs locaux. Étant donné que l'exploit nécessite une connexion interactive, minimisez le nombre d'utilisateurs standard sur les systèmes sensibles .
• Appliquez AppLocker ou WDAC (Windows Defender Application Control) pour bloquer l'exécution de fichiers exécutables et de scripts non autorisés, y compris les binaires PoC non fiables .
• Activez les règles ASR (Attack Surface Reduction) qui peuvent bloquer le vol d'identifiants et les processus non fiables — bien qu'elles ne puissent pas empêcher directement la course TOCTOU .
• Surveillez les artefacts d'exploitation connus. L'exploit repose sur la création spécifique d'oplock et de liens symboliques. Déployez des règles EDR qui alertent sur une utilisation anormale d'oplock et la création inattendue de liens symboliques par des processus non-SYSTEM .
• Priorisez la restriction de l'accès physique/logique aux postes Windows pour les utilisateurs non fiables ou non vérifiés. C'est le contrôle provisoire le plus fiable car la vulnérabilité nécessite une exécution de code local .
• Utilisez des modèles de moindre privilège — n'accordez pas de droits d'administration locaux aux utilisateurs standard, bien que cela n'empêche pas l'exploit (il passe d'un utilisateur standard à SYSTEM) .

Comment fonctionne RoguePlanet : une course TOCTOU dans l'antivirus lui-même

La faille est une condition de compétition (race condition) de type Time-of-Check à Time-of-Use (TOCTOU) due à un problème de résolution de lien incorrecte (CWE-59) . Le moteur anti-malware s'exécute avec les privilèges NT AUTHORITY\SYSTEM par conception. L'exploit met le moteur en compétition avec lui-même :

• Un utilisateur peu privilégié crée un lien symbolique ou un fichier spécialement conçu que le moteur vérifie (Time-of-Check), puis le remplace avant que le moteur ne l'utilise (Time-of-Use).
• En gagnant cette course — en utilisant un verrou d'opportunité (oplock) pour contrôler le timing de manière fiable — l'attaquant redirige l'opération du moteur vers un emplacement arbitraire, comme un répertoire qu'il contrôle .
• Le moteur effectue alors une opération privilégiée (par exemple, écriture ou exécution) sur le chemin choisi par l'attaquant, générant ainsi un shell système avec les privilèges SYSTEM .

L'exploitation est locale — l'attaquant doit déjà avoir un accès utilisateur standard à la machine — mais ne nécessite aucun privilège supplémentaire . Elle fonctionne également que la protection en temps réel de Defender soit activée ou non .

Score CVSS et sévérité

Microsoft attribue un score de base CVSS 3.1 de 7,8 (ÉLEVÉ), avec une complexité d'attaque faible (estimant que l'oplock rend la course fiable). Le NVD liste un score de base de 7,0 (ÉLEVÉ) avec une complexité d'attaque élevée (reconnaissant la difficulté de la course). Le vecteur temporel (E:F/RL:U/RC:C) donne un score temporel de 7,6 selon l'évaluation de Microsoft .

La vulnérabilité est notée "Exploitation plus probable" sur l'index d'exploitabilité de Microsoft .

Chronologie de la divulgation publique

L'écart entre la sortie de l'exploit public et la reconnaissance par Microsoft a été crucial :

L'intervalle entre la publication de l'exploit (10 juin) et la reconnaissance de Microsoft (16 juin) était d'environ 6 jours. Début juillet 2026, l'exploit était public depuis environ un mois sans correctif .

Qui a découvert RoguePlanet : la campagne Nightmare Eclipse

La vulnérabilité a été découverte et rendue publique par un chercheur en sécurité opérant sous les alias Nightmare Eclipse (également connu sous le nom de Chaotic Eclipse) .

Il s'agit du septième exploit de la campagne continue du chercheur ciblant Microsoft Defender. Les failles précédentes divulguées dans Defender comprenaient des vulnérabilités d'élévation de privilèges et de contournement telles que BlueHammer, RedSun, UnDefend, YellowKey et GreenPlasma . TechRadar qualifie RoguePlanet de faisant partie "d'une campagne de recherche soutenue contre la surface d'attaque de Defender" . Des reproductions validées par des groupes tiers comme ThreatLocker confirment la fiabilité de la chaîne d'exploitation .

Critiques de la communauté concernant le retard du correctif

Le retard prolongé du correctif a suscité de vives critiques de la part de la communauté de la sécurité :

• Red Hound a décrit la situation sans ambages : "Un exploit fonctionnel pour l'antivirus livré avec chaque copie de Windows est public depuis plus de deux semaines, et il n'y a toujours pas de correctif" .
• Cloud Security Alliance a noté qu'au 19 juin — neuf jours après la divulgation — aucun correctif ni calendrier de publication exceptionnelle n'avait été annoncé, qualifiant la fenêtre d'"alarmante" pour une vulnérabilité présente sur tous les systèmes Windows, qu'ils soient grand public ou d'entreprise .
• cve.tools a rapporté qu'au 1er juillet 2026 (21 jours après la divulgation), aucun correctif n'existait, et que l'exposition prolongée était "inhabituelle pour un zero-day publiquement exploité dans un composant de sécurité essentiel" .
• De multiples sources ont souligné l'ironie que le propre moteur antivirus de Microsoft — la dernière ligne de défense — soit utilisé comme vecteur de compromission au niveau SYSTEM, et que le manque d'urgence de Microsoft soulève des questions sur ses processus de réponse aux vulnérabilités .

La frustration principale : parce que Defender est activé par défaut sur toutes les installations Windows, la vulnérabilité a une surface d'attaque énorme, et pourtant aucun correctif provisoire (exceptionnel) n'a été émis malgré la disponibilité publique d'un code d'exploitation fonctionnel .

Mesures d'atténuation provisoires et étapes recommandées pour les organisations

Les sources recommandent systématiquement les mesures suivantes jusqu'à ce que Microsoft publie un correctif permanent :

Appliquer le correctif dès sa disponibilité

• Mettez à jour le Microsoft Malware Protection Engine (MsMpEng) dès que Microsoft publie une mise à jour de sécurité. Celle-ci est généralement livrée via Windows Update ou le Microsoft Update Catalog .
• Aucun correctif n'existait au 10 juillet 2026 — surveillez l'avis CVE et le Microsoft Security Response Center (MSRC) pour une version exceptionnelle .

Mesures d'atténuation provisoires (aucun correctif disponible)

• Limitez les comptes d'utilisateurs locaux. Étant donné que l'exploit nécessite une connexion interactive, minimisez le nombre d'utilisateurs standard sur les systèmes sensibles .
• Appliquez AppLocker ou WDAC (Windows Defender Application Control) pour bloquer l'exécution de fichiers exécutables et de scripts non autorisés, y compris les binaires PoC non fiables .
• Activez les règles ASR (Attack Surface Reduction) qui peuvent bloquer le vol d'identifiants et les processus non fiables — bien qu'elles ne puissent pas empêcher directement la course TOCTOU .
• Surveillez les artefacts d'exploitation connus. L'exploit repose sur la création spécifique d'oplock et de liens symboliques. Déployez des règles EDR qui alertent sur une utilisation anormale d'oplock et la création inattendue de liens symboliques par des processus non-SYSTEM .
• Priorisez la restriction de l'accès physique/logique aux postes Windows pour les utilisateurs non fiables ou non vérifiés. C'est le contrôle provisoire le plus fiable car la vulnérabilité nécessite une exécution de code local .
• Utilisez des modèles de moindre privilège — n'accordez pas de droits d'administration locaux aux utilisateurs standard, bien que cela n'empêche pas l'exploit (il passe d'un utilisateur standard à SYSTEM) .