Cara Kerja: Perlombaan Waktu (Race Condition) di Mesin Antivirus Itu Sendiri

Cacat ini adalah kondisi balapan Time-of-Check to Time-of-Use (TOCTOU), yang berakar pada masalah resolusi tautan yang tidak tepat (improper link resolution atau CWE-59) . Mesin Microsoft Malware Protection Engine berjalan sebagai NT AUTHORITY\SYSTEM secara default. Eksploit ini 'membalap' mesin tersebut melawan dirinya sendiri:

1. Pengguna dengan hak rendah membuat tautan simbolis (symbolic link) atau file khusus yang diperiksa oleh mesin (Tahap Periksa / Time-of-Check).
2. Sebelum mesin sempat menggunakan file itu (Tahap Pakai / Time-of-Use), eksploit menukarnya — menggunakan teknik 'oplock' untuk mengatur waktu secara presisi .
3. Alhasil, operasi file mesin yang memiliki hak istimewa diarahkan ke lokasi sembarang yang dikuasai penyerang, sehingga lahirlah command shell dengan hak SYSTEM .

Eksploitasi bersifat lokal — penyerang harus sudah memiliki akses sebagai pengguna standar di komputer target — tetapi tidak memerlukan hak istimewa tambahan selain itu . Yang memprihatinkan, eksploit ini tetap bekerja meskipun proteksi real-time Defender dinonaktifkan .

Skor CVSS dan Tingkat Keparahan

Microsoft memberikan skor dasar CVSS 3.1 sebesar 7.8 (TINGGI), dengan argumen Attack Complexity: Low (karena teknik oplock membuat balapan dapat diandalkan). Sementara itu, NVD mencatat skor dasar 7.0 (TINGGI) dengan Attack Complexity: High (mengakui tingkat kesulitan balapan). Vektor temporal (E:F/RL:U/RC:C) menghasilkan skor temporal 7.6 di bawah penilaian Microsoft .

Kerentanan ini dinilai "Exploitation More Likely" (Kemungkinan Eksploitasi Lebih Besar) pada Indeks Eksploitasi Microsoft .

Kronologi Pengungkapan Publik

Jeda waktu antara rilis eksploit publik dan pengakuan Microsoft menjadi sorotan utama:

Eksploit sudah beredar bebas sejak 10 Juni, tetapi Microsoft baru mengakuinya 6 hari kemudian pada 16 Juni. Hingga awal Juli 2026, eksploit sudah publik selama kira-kira satu bulan tanpa perbaikan .

Siapa Penemunya: Kampanye Nightmare Eclipse

Kerentanan ini ditemukan dan dirilis ke publik oleh seorang peneliti keamanan dengan alias Nightmare Eclipse (juga dikenal sebagai Chaotic Eclipse) .

Ini adalah eksploit ketujuh dalam kampanye berkelanjutan peneliti tersebut yang menargetkan Microsoft Defender. Sebelumnya, ia telah mengungkapkan cacat-cacat Defender, seperti BlueHammer, RedSun, UnDefend, YellowKey, dan GreenPlasma . TechRadar menyebut RoguePlanet sebagai bagian dari "kampanye penelitian berkelanjutan terhadap permukaan serangan Defender" . PoC yang direproduksi oleh grup pihak ketiga seperti ThreatLocker pun mengkonfirmasi keandalan rantai eksploit ini .

Kritik Komunitas Atas Keterlambatan Tambalan

Jeda tambalan yang berkepanjangan menuai kritik pedas dari komunitas keamanan:

• Red Hound menggambarkan situasi ini dengan gamblang: "Eksploit yang berfungsi untuk antivirus yang terpasang di setiap salinan Windows telah publik selama lebih dari dua minggu, dan masih belum ada tambalan" .
• Cloud Security Alliance mencatat bahwa hingga 19 Juni — sembilan hari pasca-pengungkapan — belum ada tambalan atau jadwal rilis yang diumumkan, menyebut jeda ini "mengkhawatirkan" untuk kerentanan yang terpasang di setiap sistem Windows konsumen dan perusahaan .
• cve.tools melaporkan bahwa pada 1 Juli 2026 (21 hari pasca-pengungkapan), belum ada tambalan, dan eksposur yang berkepanjangan ini "tidak biasa untuk zero-day yang telah dieksploitasi secara publik di komponen keamanan inti" .
• Banyak sumber menyoroti ironi bahwa mesin antivirus milik Microsoft sendiri — lini pertahanan terakhir — justru menjadi vektor untuk kompromi tingkat SYSTEM. Kurangnya urgensi dari Microsoft pun mempertanyakan proses respons kerentanannya .

Inti dari frustrasi ini: karena Defender aktif secara default di semua instalasi Windows, kerentanan ini memiliki permukaan serangan yang sangat luas. Namun, tidak ada tambalan sementara yang diterbitkan meskipun kode eksploit yang berfungsi sudah tersedia untuk umum .

Mitigasi Sementara dan Langkah yang Harus Diambil Organisasi

Sumber-sumber terpercaya secara konsisten merekomendasikan langkah-langkah berikut hingga Microsoft merilis tambalan permanen:

Terapkan perbaikan saat tersedia

• Perbarui Microsoft Malware Protection Engine (MsMpEng) segera setelah Microsoft merilis pembaruan keamanan. Ini biasanya dikirimkan melalui Windows Update atau Microsoft Update Catalog .
• Hingga 10 Juli 2026, belum ada perbaikan — pantau terus advisori CVE dan Microsoft Security Response Center (MSRC) untuk rilis di luar jadwal .

Mitigasi sementara (belum ada tambalan)

• Batasi akun pengguna lokal. Karena eksploit memerlukan logon interaktif, minimalkan jumlah pengguna standar di sistem sensitif .
• Terapkan AppLocker atau WDAC (Windows Defender Application Control) untuk memblokir eksekusi file dan skrip yang tidak sah, termasuk biner PoC yang tidak tepercaya .
• Aktifkan aturan ASR (Attack Surface Reduction) yang dapat memblokir pencurian kredensial dan proses yang tidak tepercaya — meskipun mungkin tidak secara langsung menghentikan balapan TOCTOU .
• Pantau artefak eksploit yang dikenal. Eksploit bergantung pada pembuatan oplock dan tautan simbolis tertentu. Terapkan aturan EDR yang memberi peringatan pada penggunaan oplok yang anomali dan pembuatan symlink yang tidak terduga oleh proses non-SYSTEM .
• Prioritaskan pembatasan akses fisik/logis ke endpoint Windows untuk pengguna yang tidak tepercaya atau tidak terverifikasi. Ini adalah kontrol sementara yang paling andal karena kerentanan memerlukan eksekusi kode lokal .
• Gunakan model hak istimewa paling rendah (least-privilege) — jangan berikan hak admin lokal kepada pengguna standar, meskipun perlu dicatat bahwa ini tidak mencegah eksploit (karena eskalasi dari pengguna standar ke SYSTEM) .

Cara Kerja: Perlombaan Waktu (Race Condition) di Mesin Antivirus Itu Sendiri

Cacat ini adalah kondisi balapan Time-of-Check to Time-of-Use (TOCTOU), yang berakar pada masalah resolusi tautan yang tidak tepat (improper link resolution atau CWE-59) . Mesin Microsoft Malware Protection Engine berjalan sebagai NT AUTHORITY\SYSTEM secara default. Eksploit ini 'membalap' mesin tersebut melawan dirinya sendiri:

1. Pengguna dengan hak rendah membuat tautan simbolis (symbolic link) atau file khusus yang diperiksa oleh mesin (Tahap Periksa / Time-of-Check).
2. Sebelum mesin sempat menggunakan file itu (Tahap Pakai / Time-of-Use), eksploit menukarnya — menggunakan teknik 'oplock' untuk mengatur waktu secara presisi .
3. Alhasil, operasi file mesin yang memiliki hak istimewa diarahkan ke lokasi sembarang yang dikuasai penyerang, sehingga lahirlah command shell dengan hak SYSTEM .

Eksploitasi bersifat lokal — penyerang harus sudah memiliki akses sebagai pengguna standar di komputer target — tetapi tidak memerlukan hak istimewa tambahan selain itu . Yang memprihatinkan, eksploit ini tetap bekerja meskipun proteksi real-time Defender dinonaktifkan .

Skor CVSS dan Tingkat Keparahan

Microsoft memberikan skor dasar CVSS 3.1 sebesar 7.8 (TINGGI), dengan argumen Attack Complexity: Low (karena teknik oplock membuat balapan dapat diandalkan). Sementara itu, NVD mencatat skor dasar 7.0 (TINGGI) dengan Attack Complexity: High (mengakui tingkat kesulitan balapan). Vektor temporal (E:F/RL:U/RC:C) menghasilkan skor temporal 7.6 di bawah penilaian Microsoft .

Kerentanan ini dinilai "Exploitation More Likely" (Kemungkinan Eksploitasi Lebih Besar) pada Indeks Eksploitasi Microsoft .

Kronologi Pengungkapan Publik

Jeda waktu antara rilis eksploit publik dan pengakuan Microsoft menjadi sorotan utama:

Eksploit sudah beredar bebas sejak 10 Juni, tetapi Microsoft baru mengakuinya 6 hari kemudian pada 16 Juni. Hingga awal Juli 2026, eksploit sudah publik selama kira-kira satu bulan tanpa perbaikan .

Siapa Penemunya: Kampanye Nightmare Eclipse

Kerentanan ini ditemukan dan dirilis ke publik oleh seorang peneliti keamanan dengan alias Nightmare Eclipse (juga dikenal sebagai Chaotic Eclipse) .

Ini adalah eksploit ketujuh dalam kampanye berkelanjutan peneliti tersebut yang menargetkan Microsoft Defender. Sebelumnya, ia telah mengungkapkan cacat-cacat Defender, seperti BlueHammer, RedSun, UnDefend, YellowKey, dan GreenPlasma . TechRadar menyebut RoguePlanet sebagai bagian dari "kampanye penelitian berkelanjutan terhadap permukaan serangan Defender" . PoC yang direproduksi oleh grup pihak ketiga seperti ThreatLocker pun mengkonfirmasi keandalan rantai eksploit ini .

Kritik Komunitas Atas Keterlambatan Tambalan

Jeda tambalan yang berkepanjangan menuai kritik pedas dari komunitas keamanan:

• Red Hound menggambarkan situasi ini dengan gamblang: "Eksploit yang berfungsi untuk antivirus yang terpasang di setiap salinan Windows telah publik selama lebih dari dua minggu, dan masih belum ada tambalan" .
• Cloud Security Alliance mencatat bahwa hingga 19 Juni — sembilan hari pasca-pengungkapan — belum ada tambalan atau jadwal rilis yang diumumkan, menyebut jeda ini "mengkhawatirkan" untuk kerentanan yang terpasang di setiap sistem Windows konsumen dan perusahaan .
• cve.tools melaporkan bahwa pada 1 Juli 2026 (21 hari pasca-pengungkapan), belum ada tambalan, dan eksposur yang berkepanjangan ini "tidak biasa untuk zero-day yang telah dieksploitasi secara publik di komponen keamanan inti" .
• Banyak sumber menyoroti ironi bahwa mesin antivirus milik Microsoft sendiri — lini pertahanan terakhir — justru menjadi vektor untuk kompromi tingkat SYSTEM. Kurangnya urgensi dari Microsoft pun mempertanyakan proses respons kerentanannya .

Inti dari frustrasi ini: karena Defender aktif secara default di semua instalasi Windows, kerentanan ini memiliki permukaan serangan yang sangat luas. Namun, tidak ada tambalan sementara yang diterbitkan meskipun kode eksploit yang berfungsi sudah tersedia untuk umum .

Mitigasi Sementara dan Langkah yang Harus Diambil Organisasi

Sumber-sumber terpercaya secara konsisten merekomendasikan langkah-langkah berikut hingga Microsoft merilis tambalan permanen:

Terapkan perbaikan saat tersedia

• Perbarui Microsoft Malware Protection Engine (MsMpEng) segera setelah Microsoft merilis pembaruan keamanan. Ini biasanya dikirimkan melalui Windows Update atau Microsoft Update Catalog .
• Hingga 10 Juli 2026, belum ada perbaikan — pantau terus advisori CVE dan Microsoft Security Response Center (MSRC) untuk rilis di luar jadwal .

Mitigasi sementara (belum ada tambalan)

• Batasi akun pengguna lokal. Karena eksploit memerlukan logon interaktif, minimalkan jumlah pengguna standar di sistem sensitif .
• Terapkan AppLocker atau WDAC (Windows Defender Application Control) untuk memblokir eksekusi file dan skrip yang tidak sah, termasuk biner PoC yang tidak tepercaya .
• Aktifkan aturan ASR (Attack Surface Reduction) yang dapat memblokir pencurian kredensial dan proses yang tidak tepercaya — meskipun mungkin tidak secara langsung menghentikan balapan TOCTOU .
• Pantau artefak eksploit yang dikenal. Eksploit bergantung pada pembuatan oplock dan tautan simbolis tertentu. Terapkan aturan EDR yang memberi peringatan pada penggunaan oplok yang anomali dan pembuatan symlink yang tidak terduga oleh proses non-SYSTEM .
• Prioritaskan pembatasan akses fisik/logis ke endpoint Windows untuk pengguna yang tidak tepercaya atau tidak terverifikasi. Ini adalah kontrol sementara yang paling andal karena kerentanan memerlukan eksekusi kode lokal .
• Gunakan model hak istimewa paling rendah (least-privilege) — jangan berikan hak admin lokal kepada pengguna standar, meskipun perlu dicatat bahwa ini tidak mencegah eksploit (karena eskalasi dari pengguna standar ke SYSTEM) .