Comment RoguePlanet accorde un accès de niveau SYSTEM

RoguePlanet est un exploit d'élévation de privilèges locale (LPE) qui cible une condition de course (race condition) dans la logique de correction des fichiers de Microsoft Defender . Lorsque Defender détecte un fichier malveillant – notamment un fichier hébergé sur un serveur SMB distant – il valide le chemin du fichier avant d'agir, par exemple en le mettant en quarantaine ou en le supprimant. La vulnérabilité réside dans le fait que Defender ne revalide pas le chemin au moment où il effectue l'opération d'écriture, créant ainsi une étroite fenêtre de tir .

Un attaquant qui remporte cette condition de course peut rediriger Defender pour qu'il écrase ses propres fichiers légitimes ou exécute du code arbitraire, obtenant finalement une invite de commande avec les privilèges SYSTEM . Cela donne un contrôle total sur la machine, mais l'approche comporte une limite importante. Le chercheur a qualifié l'exploit de fondamentalement peu fiable, le décrivant comme « un coup de chance », notant un succès de 100 % sur certaines machines mais un échec complet sur d'autres .

Plusieurs détails techniques clés définissent la menace :

• Accès initial requis : Un attaquant doit déjà avoir un accès à privilèges faibles sur la machine cible avant de pouvoir tenter l'escalade .
• Confirmation indépendante : La société de sécurité ThreatLocker a reproduit avec succès l'exploit sur des systèmes ayant appliqué toutes les mises à jour de juin 2026 .
• Aucun correctif actuel : Au moment de la divulgation, la vulnérabilité affecte les systèmes Windows 10 et Windows 11 entièrement patchés, sans correctif disponible .

La technique est la continuité des recherches utilisées dans les précédentes divulgations de Nightmare Eclipse, telles que BlueHammer (CVE-2026-33825), qui exploitait également une condition de course de type time-of-check à time-of-use (TOCTOU) dans le processus de correction de Defender .

Un exploit programmé pour éclipser le Patch Tuesday

Le Patch Tuesday de juin 2026 de Microsoft a corrigé un nombre record de 200 vulnérabilités, y compris des correctifs pour deux failles Defender – BlueHammer et RedSun – que Nightmare Eclipse avait divulguées publiquement au cours des mois précédents . L'ampleur même de la mise à jour visait à signaler une réponse de sécurité complète.

Rapid7 a noté que trois des vulnérabilités divulguées publiquement dans le lot de juin étaient directement liées à la saga en cours avec Nightmare Eclipse . La réponse du chercheur fut immédiate et théâtrale. Le 28 mai, un message promettait une divulgation zero-day « fracassante » le jour du Patch Tuesday . La livraison de RoguePlanet, quelques heures seulement après la mise en ligne des correctifs, était une déclaration directe que le processus était insuffisant .

Le conflit de plusieurs mois derrière l'exploit

La publication de RoguePlanet n'est pas un événement isolé. Il s'agit du septième zero-day publié par Nightmare Eclipse depuis avril 2026, chacun escaladant un conflit amer avec Microsoft qui a impliqué la communauté de la sécurité dans son ensemble .

Les griefs du chercheur

Nightmare Eclipse, qui utilise également les pseudonymes Chaotic Eclipse et MSNightmare, affirme avoir soumis à plusieurs reprises des rapports de vulnérabilité via le portail officiel MSRC de Microsoft, pour les voir ignorés, fermés sans explication, ou rencontrer des réponses dédaigneuses . Le chercheur ajoute que Microsoft a désactivé ses comptes sur GitHub, GitLab et le portail MSRC, coupant ainsi tous les canaux officiels de signalement de bogues . Se sentant publiquement humilié et sans recours, le chercheur a commencé à publier des exploits zero-day complets, y compris du code de preuve de concept fonctionnel .

La cascade de zero-days

Avant RoguePlanet, six vulnérabilités avaient été divulguées publiquement, chacune élargissant le périmètre des systèmes affectés :

• BlueHammer (CVE-2026-33825) — Une condition de course dans Defender menant à une élévation de privilèges
• RedSun (CVE-2026-41091) — Une autre faille LPE de Defender
• UnDefend (CVE-2026-45498) — Une troisième vulnérabilité de Defender
• YellowKey, GreenPlasma et MiniPlasma — Des failles affectant des composants tels que BitLocker et CTF

À la fin mai, trois d'entre elles – BlueHammer, RedSun et UnDefend – étaient confirmées comme étant activement exploitées dans la nature, et l'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) les a ajoutées à son catalogue des vulnérabilités exploitées connues .

La réponse croissante de Microsoft et son repli

La réponse initiale de Microsoft a été énergique. L'entreprise a publié un article de blog condamnant ces divulgations non coordonnées comme « irresponsables » et avertissant qu'elles exposaient les clients à un risque important avant que des correctifs ne soient disponibles . La situation s'est intensifiée fin mai lorsque Microsoft a menacé de saisir les forces de l'ordre pour une enquête pénale, une décision qui a immédiatement suscité une vive réaction de la communauté de la sécurité .

Les critiques ont fait valoir que la gestion par Microsoft des rapports initiaux – les ignorer ou les fermer et révoquer les comptes du chercheur – était la cause profonde des divulgations publiques . La pression a eu un effet mesurable. Le 2 juin, Microsoft a publiquement adouci sa position, publiant une déclaration selon laquelle elle « n'avait aucune intention d'engager des poursuites contre les personnes menant ou publiant des recherches en sécurité » . Les dégâts, cependant, étaient déjà publics, et la divulgation promise le jour du Patch Tuesday est arrivée comme prévu.

RoguePlanet est le produit tangible d'un pipeline de divulgation brisé. Il démontre un exploit fonctionnel sur des systèmes qui étaient, selon tous les rapports officiels, entièrement sécurisés. Pour les défenseurs, la leçon immédiate est que le Patch Tuesday ne peut à lui seul être considéré comme une frontière de sécurité complète lorsque des conditions de course non résolues dans les produits de sécurité de base restent exploitables.

Comment RoguePlanet accorde un accès de niveau SYSTEM

RoguePlanet est un exploit d'élévation de privilèges locale (LPE) qui cible une condition de course (race condition) dans la logique de correction des fichiers de Microsoft Defender . Lorsque Defender détecte un fichier malveillant – notamment un fichier hébergé sur un serveur SMB distant – il valide le chemin du fichier avant d'agir, par exemple en le mettant en quarantaine ou en le supprimant. La vulnérabilité réside dans le fait que Defender ne revalide pas le chemin au moment où il effectue l'opération d'écriture, créant ainsi une étroite fenêtre de tir .

Un attaquant qui remporte cette condition de course peut rediriger Defender pour qu'il écrase ses propres fichiers légitimes ou exécute du code arbitraire, obtenant finalement une invite de commande avec les privilèges SYSTEM . Cela donne un contrôle total sur la machine, mais l'approche comporte une limite importante. Le chercheur a qualifié l'exploit de fondamentalement peu fiable, le décrivant comme « un coup de chance », notant un succès de 100 % sur certaines machines mais un échec complet sur d'autres .

Plusieurs détails techniques clés définissent la menace :

• Accès initial requis : Un attaquant doit déjà avoir un accès à privilèges faibles sur la machine cible avant de pouvoir tenter l'escalade .
• Confirmation indépendante : La société de sécurité ThreatLocker a reproduit avec succès l'exploit sur des systèmes ayant appliqué toutes les mises à jour de juin 2026 .
• Aucun correctif actuel : Au moment de la divulgation, la vulnérabilité affecte les systèmes Windows 10 et Windows 11 entièrement patchés, sans correctif disponible .

La technique est la continuité des recherches utilisées dans les précédentes divulgations de Nightmare Eclipse, telles que BlueHammer (CVE-2026-33825), qui exploitait également une condition de course de type time-of-check à time-of-use (TOCTOU) dans le processus de correction de Defender .

Un exploit programmé pour éclipser le Patch Tuesday

Le Patch Tuesday de juin 2026 de Microsoft a corrigé un nombre record de 200 vulnérabilités, y compris des correctifs pour deux failles Defender – BlueHammer et RedSun – que Nightmare Eclipse avait divulguées publiquement au cours des mois précédents . L'ampleur même de la mise à jour visait à signaler une réponse de sécurité complète.

Rapid7 a noté que trois des vulnérabilités divulguées publiquement dans le lot de juin étaient directement liées à la saga en cours avec Nightmare Eclipse . La réponse du chercheur fut immédiate et théâtrale. Le 28 mai, un message promettait une divulgation zero-day « fracassante » le jour du Patch Tuesday . La livraison de RoguePlanet, quelques heures seulement après la mise en ligne des correctifs, était une déclaration directe que le processus était insuffisant .

Le conflit de plusieurs mois derrière l'exploit

La publication de RoguePlanet n'est pas un événement isolé. Il s'agit du septième zero-day publié par Nightmare Eclipse depuis avril 2026, chacun escaladant un conflit amer avec Microsoft qui a impliqué la communauté de la sécurité dans son ensemble .

Les griefs du chercheur

Nightmare Eclipse, qui utilise également les pseudonymes Chaotic Eclipse et MSNightmare, affirme avoir soumis à plusieurs reprises des rapports de vulnérabilité via le portail officiel MSRC de Microsoft, pour les voir ignorés, fermés sans explication, ou rencontrer des réponses dédaigneuses . Le chercheur ajoute que Microsoft a désactivé ses comptes sur GitHub, GitLab et le portail MSRC, coupant ainsi tous les canaux officiels de signalement de bogues . Se sentant publiquement humilié et sans recours, le chercheur a commencé à publier des exploits zero-day complets, y compris du code de preuve de concept fonctionnel .

La cascade de zero-days

Avant RoguePlanet, six vulnérabilités avaient été divulguées publiquement, chacune élargissant le périmètre des systèmes affectés :

• BlueHammer (CVE-2026-33825) — Une condition de course dans Defender menant à une élévation de privilèges
• RedSun (CVE-2026-41091) — Une autre faille LPE de Defender
• UnDefend (CVE-2026-45498) — Une troisième vulnérabilité de Defender
• YellowKey, GreenPlasma et MiniPlasma — Des failles affectant des composants tels que BitLocker et CTF

À la fin mai, trois d'entre elles – BlueHammer, RedSun et UnDefend – étaient confirmées comme étant activement exploitées dans la nature, et l'agence américaine de cybersécurité et de sécurité des infrastructures (CISA) les a ajoutées à son catalogue des vulnérabilités exploitées connues .

La réponse croissante de Microsoft et son repli

La réponse initiale de Microsoft a été énergique. L'entreprise a publié un article de blog condamnant ces divulgations non coordonnées comme « irresponsables » et avertissant qu'elles exposaient les clients à un risque important avant que des correctifs ne soient disponibles . La situation s'est intensifiée fin mai lorsque Microsoft a menacé de saisir les forces de l'ordre pour une enquête pénale, une décision qui a immédiatement suscité une vive réaction de la communauté de la sécurité .

Les critiques ont fait valoir que la gestion par Microsoft des rapports initiaux – les ignorer ou les fermer et révoquer les comptes du chercheur – était la cause profonde des divulgations publiques . La pression a eu un effet mesurable. Le 2 juin, Microsoft a publiquement adouci sa position, publiant une déclaration selon laquelle elle « n'avait aucune intention d'engager des poursuites contre les personnes menant ou publiant des recherches en sécurité » . Les dégâts, cependant, étaient déjà publics, et la divulgation promise le jour du Patch Tuesday est arrivée comme prévu.

RoguePlanet est le produit tangible d'un pipeline de divulgation brisé. Il démontre un exploit fonctionnel sur des systèmes qui étaient, selon tous les rapports officiels, entièrement sécurisés. Pour les défenseurs, la leçon immédiate est que le Patch Tuesday ne peut à lui seul être considéré comme une frontière de sécurité complète lorsque des conditions de course non résolues dans les produits de sécurité de base restent exploitables.