RoguePlanet (CVE-2026-50656): Microsoft Defender Zero-Day जो पूरी तरह से अपडेटेड विंडोज को भी बना सकता है असुरक्षित

• एक कम-विशेषाधिकार वाला यूज़र एक विशेष रूप से तैयार किया गया सिम्बोलिक लिंक या फ़ाइल बनाता है, जिसे इंजन चेक करता है (Time-of-Check) और फिर इंजन के उपयोग करने से पहले (Time-of-Use) उसे बदल देता है।
• इस रेस को जीतने के लिए, हमलावर oplock का उपयोग करके समय को नियंत्रित करता है और इंजन के फ़ाइल ऑपरेशन को अपने नियंत्रण वाले किसी मनमाने स्थान पर रीडायरेक्ट कर देता है ^PT।
• इसके बाद इंजन हमलावर द्वारा चुने गए पथ पर एक विशेषाधिकार प्राप्त फ़ाइल ऑपरेशन (जैसे लिखना या निष्पादित करना) करता है, जिससे SYSTEM विशेषाधिकारों के साथ एक कमांड शेल चालू हो जाता है ^KL।

यह एक्सप्लॉइट लोकल है - हमलावर के पास पहले से ही मशीन पर स्टैंडर्ड यूज़र एक्सेस होना चाहिए - लेकिन इसके लिए उससे अधिक किसी अतिरिक्त विशेषाधिकार की आवश्यकता नहीं है ^C। यह इस बात पर भी काम करता है कि Defender की रीयल-टाइम सुरक्षा चालू है या बंद ^MI।

CVSS स्कोर और गंभीरता

माइक्रोसॉफ्ट ने इसे CVSS 3.1 बेस स्कोर 7.8 (HIGH) दिया है, जिसमें अटैक कॉम्प्लेक्सिटी को 'Low' माना गया है (यह तर्क देते हुए कि oplock रेस को विश्वसनीय बनाता है)। NVD ने बेस स्कोर 7.0 (HIGH) सूचीबद्ध किया है, जिसमें अटैक कॉम्प्लेक्सिटी को 'High' माना गया है (रेस की कठिनाई को स्वीकार करते हुए)। Microsoft के आकलन के अनुसार टेम्पोरल वेक्टर (E:F/RL:U/RC:C) 7.6 का टेम्पोरल स्कोर देता है ^CLM।

माइक्रोसॉफ्ट ने अपने एक्सप्लॉइटेबिलिटी इंडेक्स पर इस भेद्यता को "एक्सप्लॉइटेशन मोर लाइकली" (शोषण की अधिक संभावना) के रूप में रेट किया है ^KC।

सार्वजनिक खुलासे की समयरेखा

सार्वजनिक एक्सप्लॉइट जारी होने और Microsoft द्वारा स्वीकार किए जाने के बीच का अंतराल महत्वपूर्ण था:

सार्वजनिक एक्सप्लॉइट रिलीज़ (10 जून) और Microsoft की स्वीकृति (16 जून) के बीच लगभग 6 दिनों का अंतर था। जुलाई 2026 की शुरुआत तक, एक्सप्लॉइट लगभग एक महीने से सार्वजनिक था और कोई फिक्स नहीं आया था ^FT।

इसकी खोज किसने की: Nightmare Eclipse अभियान

इस भेद्यता की खोज की गई और इसे सार्वजनिक रूप से Nightmare Eclipse (जिन्हें Chaotic Eclipse के नाम से भी जाना जाता है) उपनामों से काम करने वाले एक सुरक्षा शोधकर्ता द्वारा जारी किया गया ^CTH।

यह शोधकर्ता के चल रहे Microsoft Defender को लक्षित करने वाले अभियान में सातवां शोषण है। पिछले खुलासा किए गए Defender दोषों में BlueHammer, RedSun, UnDefend, YellowKey, और GreenPlasma जैसी पहले की विशेषाधिकार-वृद्धि और बाईपास भेद्यताएं शामिल थीं ^PD। TechRadar RoguePlanet को "Defender अटैक सतह के खिलाफ एक सतत शोध अभियान" के हिस्से के रूप में चित्रित करता है ^H। ThreatLocker जैसे तीसरे पक्ष के समूहों द्वारा मान्य PoC प्रतिकृतियां एक्सप्लॉइट श्रृंखला की विश्वसनीयता की पुष्टि करती हैं ^T।

पैच में देरी पर समुदाय की आलोचना

लंबे समय तक पैच न आने से सुरक्षा समुदाय में कड़ी आलोचना हुई:

• Red Hound ने स्थिति को सीधे शब्दों में बयान किया: "एक काम करने वाला शोषण जो विंडोज की हर कॉपी में शामिल एंटीवायरस के लिए है, वह दो सप्ताह से अधिक समय से सार्वजनिक है, और अभी भी कोई पैच नहीं है" ^R।
• Cloud Security Alliance ने नोट किया कि 19 जून तक - खुलासे के नौ दिन बाद - कोई पैच या आउट-ऑफ-बैंड रिलीज़ टाइमलाइन घोषित नहीं की गई थी, और उन्होंने इस विंडो को एक ऐसी भेद्यता के लिए "चिंताजनक" बताया जो हर उपभोक्ता और एंटरप्राइज़ विंडोज सिस्टम पर मौजूद है ^L।
• cve.tools ने बताया कि 1 जुलाई, 2026 (खुलासे के 21 दिन बाद) तक, कोई पैच मौजूद नहीं था, और एक मुख्य सुरक्षा घटक में सार्वजनिक रूप से शोषित zero-day के लिए यह विस्तारित एक्सपोज़र "असामान्य" था ^C।
• कई स्रोतों ने इस विडंबना पर प्रकाश डाला कि माइक्रोसॉफ्ट का अपना एंटीवायरस इंजन - जो बचाव की अंतिम पंक्ति है - का उपयोग SYSTEM-स्तर से समझौता करने के लिए वेक्टर के रूप में किया जा रहा था, और Microsoft की ओर से तात्कालिकता की कमी उसकी भेद्यता प्रतिक्रिया प्रक्रियाओं पर सवाल उठा रही थी ^MH।

मुख्य निराशा यह है: क्योंकि Defender सभी विंडोज इंस्टॉलेशन पर डिफ़ॉल्ट रूप से सक्षम है, भेद्यता का हमले का एक बहुत बड़ा सतह क्षेत्र है, फिर भी कार्यात्मक शोषण कोड सार्वजनिक रूप से उपलब्ध होने के बावजूद कोई अंतरिम पैच (आउट-ऑफ-बैंड) जारी नहीं किया गया ^HFL।

संगठनों को क्या करना चाहिए: अंतरिम उपाय और कदम

स्रोत लगातार तब तक निम्नलिखित की सलाह देते हैं जब तक Microsoft एक स्थायी फिक्स नहीं भेजता:

जब उपलब्ध हो तो फिक्स लागू करें

• जैसे ही Microsoft एक सुरक्षा अपडेट जारी करता है, Microsoft Malware Protection Engine (MsMpEng) को अपडेट करें। यह आमतौर पर Windows Update या Microsoft Update Catalog के माध्यम से वितरित किया जाता है ^W।
• 10 जुलाई, 2026 तक कोई फिक्स मौजूद नहीं था - आउट-ऑफ-बैंड रिलीज़ के लिए CVE सलाहकार और Microsoft Security Response Center (MSRC) की निगरानी करें ^NC।

अंतरिम शमन (जब कोई पैच उपलब्ध नहीं है)

• स्थानीय उपयोगकर्ता खातों को प्रतिबंधित करें। चूंकि एक्सप्लॉइट के लिए इंटरेक्टिव लॉगऑन की आवश्यकता होती है, इसलिए संवेदनशील सिस्टम पर स्टैंडर्ड यूज़र की संख्या कम से कम करें ^KL।
• AppLocker या WDAC (Windows Defender Application Control) लागू करें अनधिकृत निष्पादन योग्य और स्क्रिप्ट को चलने से रोकने के लिए, जिसमें अविश्वसनीय PoC बाइनरी शामिल हैं ^LI।
• ASR (Attack Surface Reduction) नियमों को सक्षम करें जो क्रेडेंशियल चोरी और अविश्वसनीय प्रक्रियाओं को रोक सकते हैं - हालांकि ये सीधे TOCTOU रेस को नहीं रोक सकते ^F।
• ज्ञात शोषण कलाकृतियों की निगरानी करें। एक्सप्लॉइट विशिष्ट oplock और सिम्बोलिक-लिंक निर्माण पर निर्भर करता है। EDR नियम तैनात करें जो गैर-SYSTEM प्रक्रियाओं द्वारा असामान्य oplock उपयोग और अप्रत्याशित symlink निर्माण पर अलर्ट करते हैं ^LF।
• अविश्वसनीय या अपरिचित उपयोगकर्ताओं के लिए विंडोज एंडपॉइंट तक भौतिक/तार्किक पहुंच को प्रतिबंधित करने को प्राथमिकता दें। यह सबसे विश्वसनीय अंतरिम नियंत्रण है क्योंकि भेद्यता के लिए स्थानीय कोड निष्पादन की आवश्यकता होती है ^KL।
• न्यूनतम विशेषाधिकार मॉडल का उपयोग करें - स्टैंडर्ड यूज़र को स्थानीय व्यवस्थापक अधिकार न दें, हालांकि ध्यान दें कि यह शोषण को नहीं रोकता है (यह स्टैंडर्ड यूज़र से SYSTEM तक बढ़ जाता है) ^CL।