RoguePlanet (CVE-2026-50656): חולשה לא מתוקנת ב-Microsoft Defender עלולה להעניק הרשאות SYSTEM

מהי חולשת RoguePlanet?

CVE-2026-50656, שזכתה לכינוי RoguePlanet, היא חולשת העלאת הרשאות מקומית מסוג Zero-Day במנוע Microsoft Malware Protection Engine (MsMpEng) — מנוע הסריקה המרכזי שעליו מבוסס Microsoft Defender Antivirus ^CL.

החולשה משפיעה על מהדורות Windows 10 ו-Windows 11, ובהן Home, Pro, Enterprise ו-LTSC. לפי דיווחי המחקר, היא ניתנת לניצול גם במערכות שקיבלו את עדכוני האבטחה של יוני 2026, לרבות העדכון המצטבר KB5094126 ^L.

המשמעות המעשית היא שמשתמש מקומי בעל הרשאות רגילות עשוי להעלות את רמת ההרשאות שלו עד ל-NT AUTHORITY\SYSTEM — חשבון השירות החזק ביותר במערכת Windows — ולפעול למעשה בשליטה מלאה על המחשב ^KL.

איך החולשה פועלת: מרוץ בין בדיקה לשימוש

השורש הטכני של RoguePlanet הוא TOCTOU — Time-of-Check to Time-of-Use, כלומר מצב שבו תוכנה בודקת קובץ או נתיב בנקודת זמן אחת, אך משתמשת בו מעט לאחר מכן. החולשה מסווגת גם כ-CWE-59, העוסקת בפתרון לא תקין של קישורים לפני גישה לקובץ ^GP.

מנוע ההגנה של Microsoft Defender פועל בכוונה תחת חשבון SYSTEM, כדי שיוכל לסרוק קבצים ולבצע פעולות תיקון ברמת הרשאות גבוהה. הניצול מנסה לגרום למנוע להתחרות בתהליך מקומי בעל הרשאות נמוכות:

• המשתמש יוצר קובץ או קישור סמלי שהמנוע בודק.
• לפני שהמנוע משתמש בנתיב שנבדק, הקובץ או הקישור מוחלפים.
• באמצעות מנגנון נעילה המכונה oplock, התוקף יכול לשלוט בתזמון ולהגדיל את הסיכוי לנצח במרוץ.
• כתוצאה מכך, פעולת קובץ שמתבצעת בהרשאות גבוהות מופנית לנתיב שנבחר על ידי התוקף ^PT.

בתרחיש המוצלח, מנוע Defender מבצע פעולת קובץ בהרשאות SYSTEM, והניצול יכול להוביל לפתיחת מעטפת פקודות תחת הרשאות אלה ^KL. מדובר בחולשה מקומית: התוקף חייב כבר להיות מסוגל להתחבר למחשב ולהריץ עליו קוד, אך אינו זקוק להרשאות מנהל נוספות ^C.

לפי דיווחי המחקר, הוכחת היכולת פועלת גם כאשר ההגנה בזמן אמת של Defender מופעלת וגם כאשר היא מושבתת ^MI.

חומרה וציון CVSS

מיקרוסופט העניקה ל-CVE-2026-50656 ציון 7.8 מתוך 10 ב-CVSS 3.1, ברמת חומרה גבוהה. בהערכת מיקרוסופט, מורכבות התקיפה נמוכה, בין היתר משום שמנגנון ה-oplock הופך את מרוץ התזמון לאמין יותר ^CLM.

ה-NVD, מאגר הפגיעויות הלאומי של ארצות הברית, מציג ציון בסיס של 7.0, גם הוא ברמת חומרה גבוהה, אך מעריך שמורכבות התקיפה גבוהה יותר בשל הקושי המובנה בניצול מרוץ כזה. במדד הזמני של מיקרוסופט מופיע ציון 7.6 ^CLM.

מיקרוסופט מסווגת את החולשה תחת דירוג Exploitation More Likely — כלומר, להערכתה, ניצול שלה סביר יותר ביחס לחולשות אחרות ^KC.

ציר הזמן: הניצול פורסם לפני האישור הרשמי

תאריך	אירוע
10 ביוני 2026	חוקר אבטחה פרסם ניצול עובד בפומבי, שעות לאחר עדכוני ה-Patch Tuesday של מיקרוסופט לחודש יוני CLF.
16 ביוני 2026	מיקרוסופט פרסמה את CVE-2026-50656 ואישרה רשמית את קיומה של החולשה NW.
16–19 ביוני 2026	הרישום ב-NVD, הודעת מיקרוסופט והסיקור הנרחב בקהילת האבטחה עלו לאוויר NM.
4–10 ביולי 2026	עדיין לא פורסם תיקון, ומיקרוסופט לא הודיעה על לוח זמנים לעדכון חירום מחוץ למחזור העדכונים הרגיל CT.

בין פרסום הניצול ב-10 ביוני לבין ההכרה הרשמית של מיקרוסופט ב-16 ביוני חלפו כשישה ימים. נכון לתחילת יולי 2026, קוד הניצול היה זמין לציבור במשך כחודש ללא תיקון רשמי ^FT.

מי פרסם את RoguePlanet?

החולשה התגלתה ופורסמה על ידי חוקר אבטחה הפועל תחת הכינויים Nightmare Eclipse ו-Chaotic Eclipse ^CTH.

RoguePlanet הוצגה כחולשה השביעית בקמפיין מחקר מתמשך שמכוון למשטח התקיפה של Microsoft Defender. בין החולשות הקודמות שיוחסו לקמפיין נמנות BlueHammer, RedSun, UnDefend, YellowKey ו-GreenPlasma ^PD.

TechRadar תיאר את RoguePlanet כחלק ממסע מחקר מתמשך נגד רכיבי ההגנה של Defender ^H. גופי אבטחה חיצוניים, ובהם ThreatLocker, דיווחו על שחזורים מאומתים של הוכחת היכולת, דבר המחזק את ההערכה שהניצול אינו תיאורטי בלבד ^T.

מדוע עיכוב התיקון עורר ביקורת?

הפער בין פרסום ניצול עובד לבין זמינותו של תיקון עורר ביקורת חריפה בקרב חוקרי אבטחה וארגונים בתחום. הסיבה המרכזית היא היקף החשיפה: Microsoft Defender מותקן ומשמש כברירת מחדל במערכות Windows רבות, הן בסביבה הביתית והן בארגונים ^LH.

בין הטענות שעלו:

• Red Hound כתב כי ניצול עובד עבור תוכנת האנטי-וירוס שמגיעה עם כל עותק של Windows היה זמין לציבור במשך יותר משבועיים, ועדיין לא היה תיקון ^R.
• Cloud Security Alliance ציין כי גם תשעה ימים לאחר הפרסום, ב-19 ביוני, לא פורסמו תיקון או לוח זמנים לעדכון חירום — מצב שהוגדר מדאיג עבור רכיב אבטחה שמגיע עם מערכות צרכניות וארגוניות כאחד ^L.
• cve.tools דיווח כי ב-1 ביולי, 21 ימים לאחר הפרסום, עדיין לא היה תיקון, וכינה את החשיפה הממושכת חריגה עבור Zero-Day פומבי ברכיב אבטחה מרכזי ^C.
• מקורות נוספים הדגישו את האירוניה בכך שמנוע האנטי-וירוס עצמו משמש כמסלול להשגת הרשאות SYSTEM, והעלו שאלות בנוגע לקצב ולתהליך התגובה של מיקרוסופט ^MH.

חשוב להבחין בין ניצול עובד שפורסם בפומבי לבין אישור לניצול נרחב במתקפות בעולם האמיתי. המקורות שסופקו מתעדים את זמינות ה-PoC ואת יכולת השחזור, אך אינם מספקים אישור חד-משמעי לכך שהחולשה נוצלה בהיקף נרחב בפועל.

מה ארגונים יכולים לעשות בינתיים?

עד שמיקרוסופט תפרסם עדכון קבוע, צוותי IT ואבטחה צריכים להתייחס למערכות Windows כאל נקודות קצה החשופות להעלאת הרשאות מקומית ולחזק את השליטה בגישה אליהן.

עם פרסום התיקון

• להתקין את עדכון מנוע Microsoft Malware Protection Engine דרך Windows Update או Microsoft Update Catalog ^W.
• לעקוב אחר הודעת ה-CVE ומרכז התגובה לאבטחה של מיקרוסופט, MSRC, במקרה של עדכון חירום מחוץ למחזור העדכונים הרגיל ^NC.
• לוודא באמצעות כלי ניהול ארגוניים שהעדכון הותקן בפועל בכל תחנות הקצה והשרתים הרלוונטיים.

צעדי צמצום חשיפה ללא תיקון

• להגביל חשבונות מקומיים: מכיוון שהניצול דורש התחברות אינטראקטיבית וגישה מקומית, יש לצמצם את מספר המשתמשים בעלי גישה למערכות רגישות ^KL.
• להפעיל AppLocker או WDAC: מדיניות Allowlisting יכולה לחסום הרצה של קבצים בינאריים וסקריפטים לא מורשים, לרבות קובצי PoC שאינם מהימנים ^LI.
• להפעיל כללי ASR: כללי Attack Surface Reduction עשויים לחסום תהליכים לא מהימנים ופעולות גניבת הרשאות, אף שהם לא בהכרח עוצרים ישירות את מרוץ ה-TOCTOU ^F.
• לנטר יצירת קישורים סמלים ושימוש חריג ב-oplock: מערכות EDR יכולות להתריע על יצירת קישורים סמלים או שימוש חריג במנגנוני נעילה מצד תהליכים שאינם פועלים תחת SYSTEM ^LF.
• להגביל גישה פיזית ולוגית: זהו אמצעי הביניים האמין ביותר, משום שהחולשה דורשת ביצוע קוד מקומי במחשב ^KL.
• להחיל עקרון הרשאות מינימליות: אין להעניק למשתמשים רגילים הרשאות מנהל מקומי ללא צורך. עם זאת, חשוב לזכור שהגבלה זו לבדה אינה פותרת את RoguePlanet, משום שהניצול מיועד להעלות משתמש רגיל להרשאות SYSTEM ^CL.

השורה התחתונה

RoguePlanet אינה מתקפה מרוחקת שמאפשרת לכל תוקף להשתלט על מחשב דרך האינטרנט. היא דורשת גישה מקומית או יכולת להריץ קוד על המחשב. אך ברגע שהגישה הזו קיימת, חולשה במנוע שאמור להגן על Windows עלולה לאפשר קפיצה משמעותית ממשתמש רגיל לשליטה מלאה במערכת.

כל עוד לא פורסם תיקון, ההגנה המעשית נשענת על צמצום הגישה המקומית, חסימת תוכנות לא מורשות, ניטור התנהגות חריגה והתקנת עדכון Microsoft Malware Protection Engine מיד עם זמינותו.