Eksploitasi ini dirilis oleh peneliti keamanan anonim yang menggunakan nama Nightmare Eclipse, yang juga dikenal sebagai Chaotic Eclipse dan MSNightmare. Kehadirannya bukan sekadar temuan teknis baru, tetapi juga babak terbaru dalam perselisihan terbuka antara peneliti tersebut dan Microsoft mengenai cara perusahaan menangani laporan kerentanan.

Apa itu RoguePlanet?

RoguePlanet merupakan eksploitasi local privilege escalation (LPE), yaitu teknik yang memungkinkan pengguna atau penyerang dengan akses terbatas di sebuah komputer menaikkan hak aksesnya menjadi tingkat tertinggi. Dalam kasus ini, targetnya adalah logika remediasi file Microsoft Defender—proses ketika antivirus mengarantina atau menghapus file yang dianggap berbahaya .

Celah tersebut memanfaatkan race condition, yakni kondisi ketika hasil serangan bergantung pada siapa yang lebih dulu menjalankan operasi dalam jendela waktu yang sangat sempit. Defender memeriksa lokasi file sebelum melakukan tindakan, tetapi tidak memeriksa ulang lokasi itu tepat ketika operasi penulisan dilakukan .

Dengan memenangkan perlombaan waktu tersebut, penyerang dapat mengarahkan Defender untuk menimpa file yang sah atau menjalankan kode arbitrer. Jika berhasil, proses ini dapat membuka command prompt dengan hak SYSTEM, tingkat akses yang memberi kendali hampir penuh atas komputer Windows .

Namun, RoguePlanet bukan eksploitasi yang selalu berhasil. Nightmare Eclipse menyebutnya sebagai serangan yang bersifat “hit or miss”: pada beberapa mesin tingkat keberhasilannya dilaporkan mencapai 100 persen, sementara pada mesin lain eksploitasi tersebut gagal . Perusahaan keamanan ThreatLocker secara terpisah berhasil mereproduksi eksploitasi itu pada sistem yang telah menerima pembaruan Juni 2026 .

Hal penting tentang ancamannya

• Memerlukan akses awal: RoguePlanet adalah LPE, sehingga penyerang harus lebih dulu memiliki akses dengan hak rendah ke perangkat target .
• Tetap berdampak setelah pembaruan Juni: Kerentanan ini dilaporkan masih dapat dieksploitasi pada Windows 10 dan Windows 11 yang telah dipatch sepenuhnya .
• Belum ada perbaikan khusus saat diungkapkan: Pada saat publikasi, belum tersedia patch untuk RoguePlanet .
• Dapat menghasilkan akses SYSTEM: Jika berhasil, penyerang bisa memperoleh kendali tingkat tinggi atas sistem .

Mengapa dirilis tepat setelah Patch Tuesday?

Pada 9 Juni 2026, Microsoft mulai menggulirkan pembaruan Patch Tuesday yang memperbaiki 200 kerentanan, termasuk tiga zero-day dan dua celah Microsoft Defender yang sebelumnya telah diungkapkan kepada publik . Skala pembaruan tersebut menunjukkan upaya besar Microsoft untuk menutup berbagai masalah keamanan di Windows dan produk terkait.

Namun, RoguePlanet diumumkan hanya beberapa jam setelah pembaruan itu tersedia . Waktu publikasinya membuat eksploitasi tersebut tampak sebagai respons langsung terhadap patch Microsoft—sekaligus demonstrasi bahwa perangkat yang sudah diperbarui belum tentu bebas dari kerentanan baru yang belum diketahui.

Rapid7 mencatat bahwa tiga kerentanan yang telah diungkapkan kepada publik dalam paket pembaruan Juni berkaitan dengan rangkaian kasus Nightmare Eclipse . Sebelumnya, pada 28 Mei, peneliti tersebut menjanjikan publikasi zero-day “bone shattering” pada Patch Tuesday . RoguePlanet kemudian menjadi realisasi dari ancaman tersebut.

Rangkaian zero-day Nightmare Eclipse

RoguePlanet adalah zero-day publik ketujuh yang dikaitkan dengan Nightmare Eclipse sejak April 2026 . Enam kerentanan yang dirilis sebelumnya meliputi:

• BlueHammer (CVE-2026-33825): race condition pada Microsoft Defender yang dapat menyebabkan kenaikan hak akses .
• RedSun (CVE-2026-41091): kerentanan LPE lain pada Defender .
• UnDefend (CVE-2026-45498): celah tambahan pada Defender .
• YellowKey, GreenPlasma, dan MiniPlasma: kerentanan yang berdampak pada komponen Windows lain, termasuk BitLocker dan CTF .

Pada akhir Mei, BlueHammer, RedSun, dan UnDefend dilaporkan telah dieksploitasi dalam serangan nyata. Ketiganya kemudian ditambahkan oleh badan keamanan siber Amerika Serikat, Cybersecurity and Infrastructure Security Agency (CISA), ke katalog Known Exploited Vulnerabilities .

Teknik RoguePlanet juga melanjutkan pola penelitian pada BlueHammer, yang memanfaatkan celah time-of-check to time-of-use (TOCTOU)—sejenis race condition dalam proses remediasi Defender .

Perselisihan antara peneliti dan Microsoft

Nightmare Eclipse mengklaim telah berulang kali mengirimkan laporan kerentanan melalui portal resmi Microsoft Security Response Center (MSRC). Menurut klaim peneliti tersebut, sebagian laporan diabaikan, ditutup tanpa penjelasan, atau ditanggapi secara meremehkan .

Peneliti itu juga menuduh Microsoft menonaktifkan akun mereka di GitHub, GitLab, dan portal MSRC. Jika benar, langkah tersebut akan membatasi akses ke kanal resmi yang biasanya digunakan untuk melaporkan bug keamanan . Nightmare Eclipse kemudian memilih mempublikasikan zero-day beserta kode proof of concept (PoC) yang dapat digunakan untuk mendemonstrasikan eksploitasi .

Microsoft mengecam pengungkapan tanpa koordinasi itu sebagai tindakan “irresponsible” dan memperingatkan bahwa publikasi kode eksploitasi dapat membahayakan pelanggan sebelum patch atau mitigasi tersedia . Pada akhir Mei, perusahaan bahkan mengisyaratkan kemungkinan membawa perkara tersebut kepada penegak hukum untuk penyelidikan pidana .

Respons itu memicu kritik dari sebagian komunitas keamanan. Para pengkritik berpendapat bahwa kegagalan komunikasi dan penutupan laporan sebelumnya turut mendorong peneliti memilih jalur publik .

Di tengah tekanan tersebut, Microsoft melunakkan sikapnya pada 2 Juni. Perusahaan menyatakan tidak berniat mengambil tindakan terhadap individu yang melakukan atau memublikasikan penelitian keamanan . Pernyataan itu meredakan sebagian kekhawatiran, tetapi tidak menghentikan rangkaian publikasi zero-day tersebut.

Pelajaran bagi pengguna dan pengelola sistem

RoguePlanet tidak berarti pembaruan Windows menjadi tidak berguna. Patch tetap merupakan lapisan pertahanan penting dan harus segera dipasang. Namun, kasus ini menunjukkan bahwa pembaruan rutin bukan satu-satunya batas keamanan—terutama ketika kerentanan baru ditemukan setelah patch diterbitkan.

Bagi organisasi, risiko terbesar berada pada perangkat yang sudah lebih dulu dikuasai melalui akun berhak rendah. Pemantauan aktivitas mencurigakan, pembatasan hak akses, isolasi endpoint yang terindikasi berkompromi, dan penerapan mitigasi resmi ketika tersedia tetap diperlukan sambil menunggu perbaikan khusus dari Microsoft.

Pada akhirnya, RoguePlanet memperlihatkan dampak nyata ketika jalur pengungkapan kerentanan antara peneliti dan vendor mengalami kebuntuan: kode eksploitasi dapat tersedia untuk publik sebelum perbaikan siap, sementara pengguna harus menghadapi celah baru bahkan setelah memasang pembaruan keamanan terbaru.

Eksploitasi ini dirilis oleh peneliti keamanan anonim yang menggunakan nama Nightmare Eclipse, yang juga dikenal sebagai Chaotic Eclipse dan MSNightmare. Kehadirannya bukan sekadar temuan teknis baru, tetapi juga babak terbaru dalam perselisihan terbuka antara peneliti tersebut dan Microsoft mengenai cara perusahaan menangani laporan kerentanan.

Apa itu RoguePlanet?

RoguePlanet merupakan eksploitasi local privilege escalation (LPE), yaitu teknik yang memungkinkan pengguna atau penyerang dengan akses terbatas di sebuah komputer menaikkan hak aksesnya menjadi tingkat tertinggi. Dalam kasus ini, targetnya adalah logika remediasi file Microsoft Defender—proses ketika antivirus mengarantina atau menghapus file yang dianggap berbahaya .

Celah tersebut memanfaatkan race condition, yakni kondisi ketika hasil serangan bergantung pada siapa yang lebih dulu menjalankan operasi dalam jendela waktu yang sangat sempit. Defender memeriksa lokasi file sebelum melakukan tindakan, tetapi tidak memeriksa ulang lokasi itu tepat ketika operasi penulisan dilakukan .

Dengan memenangkan perlombaan waktu tersebut, penyerang dapat mengarahkan Defender untuk menimpa file yang sah atau menjalankan kode arbitrer. Jika berhasil, proses ini dapat membuka command prompt dengan hak SYSTEM, tingkat akses yang memberi kendali hampir penuh atas komputer Windows .

Namun, RoguePlanet bukan eksploitasi yang selalu berhasil. Nightmare Eclipse menyebutnya sebagai serangan yang bersifat “hit or miss”: pada beberapa mesin tingkat keberhasilannya dilaporkan mencapai 100 persen, sementara pada mesin lain eksploitasi tersebut gagal . Perusahaan keamanan ThreatLocker secara terpisah berhasil mereproduksi eksploitasi itu pada sistem yang telah menerima pembaruan Juni 2026 .

Hal penting tentang ancamannya

• Memerlukan akses awal: RoguePlanet adalah LPE, sehingga penyerang harus lebih dulu memiliki akses dengan hak rendah ke perangkat target .
• Tetap berdampak setelah pembaruan Juni: Kerentanan ini dilaporkan masih dapat dieksploitasi pada Windows 10 dan Windows 11 yang telah dipatch sepenuhnya .
• Belum ada perbaikan khusus saat diungkapkan: Pada saat publikasi, belum tersedia patch untuk RoguePlanet .
• Dapat menghasilkan akses SYSTEM: Jika berhasil, penyerang bisa memperoleh kendali tingkat tinggi atas sistem .

Mengapa dirilis tepat setelah Patch Tuesday?

Pada 9 Juni 2026, Microsoft mulai menggulirkan pembaruan Patch Tuesday yang memperbaiki 200 kerentanan, termasuk tiga zero-day dan dua celah Microsoft Defender yang sebelumnya telah diungkapkan kepada publik . Skala pembaruan tersebut menunjukkan upaya besar Microsoft untuk menutup berbagai masalah keamanan di Windows dan produk terkait.

Namun, RoguePlanet diumumkan hanya beberapa jam setelah pembaruan itu tersedia . Waktu publikasinya membuat eksploitasi tersebut tampak sebagai respons langsung terhadap patch Microsoft—sekaligus demonstrasi bahwa perangkat yang sudah diperbarui belum tentu bebas dari kerentanan baru yang belum diketahui.

Rapid7 mencatat bahwa tiga kerentanan yang telah diungkapkan kepada publik dalam paket pembaruan Juni berkaitan dengan rangkaian kasus Nightmare Eclipse . Sebelumnya, pada 28 Mei, peneliti tersebut menjanjikan publikasi zero-day “bone shattering” pada Patch Tuesday . RoguePlanet kemudian menjadi realisasi dari ancaman tersebut.

Rangkaian zero-day Nightmare Eclipse

RoguePlanet adalah zero-day publik ketujuh yang dikaitkan dengan Nightmare Eclipse sejak April 2026 . Enam kerentanan yang dirilis sebelumnya meliputi:

• BlueHammer (CVE-2026-33825): race condition pada Microsoft Defender yang dapat menyebabkan kenaikan hak akses .
• RedSun (CVE-2026-41091): kerentanan LPE lain pada Defender .
• UnDefend (CVE-2026-45498): celah tambahan pada Defender .
• YellowKey, GreenPlasma, dan MiniPlasma: kerentanan yang berdampak pada komponen Windows lain, termasuk BitLocker dan CTF .

Pada akhir Mei, BlueHammer, RedSun, dan UnDefend dilaporkan telah dieksploitasi dalam serangan nyata. Ketiganya kemudian ditambahkan oleh badan keamanan siber Amerika Serikat, Cybersecurity and Infrastructure Security Agency (CISA), ke katalog Known Exploited Vulnerabilities .

Teknik RoguePlanet juga melanjutkan pola penelitian pada BlueHammer, yang memanfaatkan celah time-of-check to time-of-use (TOCTOU)—sejenis race condition dalam proses remediasi Defender .

Perselisihan antara peneliti dan Microsoft

Nightmare Eclipse mengklaim telah berulang kali mengirimkan laporan kerentanan melalui portal resmi Microsoft Security Response Center (MSRC). Menurut klaim peneliti tersebut, sebagian laporan diabaikan, ditutup tanpa penjelasan, atau ditanggapi secara meremehkan .

Peneliti itu juga menuduh Microsoft menonaktifkan akun mereka di GitHub, GitLab, dan portal MSRC. Jika benar, langkah tersebut akan membatasi akses ke kanal resmi yang biasanya digunakan untuk melaporkan bug keamanan . Nightmare Eclipse kemudian memilih mempublikasikan zero-day beserta kode proof of concept (PoC) yang dapat digunakan untuk mendemonstrasikan eksploitasi .

Microsoft mengecam pengungkapan tanpa koordinasi itu sebagai tindakan “irresponsible” dan memperingatkan bahwa publikasi kode eksploitasi dapat membahayakan pelanggan sebelum patch atau mitigasi tersedia . Pada akhir Mei, perusahaan bahkan mengisyaratkan kemungkinan membawa perkara tersebut kepada penegak hukum untuk penyelidikan pidana .

Respons itu memicu kritik dari sebagian komunitas keamanan. Para pengkritik berpendapat bahwa kegagalan komunikasi dan penutupan laporan sebelumnya turut mendorong peneliti memilih jalur publik .

Di tengah tekanan tersebut, Microsoft melunakkan sikapnya pada 2 Juni. Perusahaan menyatakan tidak berniat mengambil tindakan terhadap individu yang melakukan atau memublikasikan penelitian keamanan . Pernyataan itu meredakan sebagian kekhawatiran, tetapi tidak menghentikan rangkaian publikasi zero-day tersebut.

Pelajaran bagi pengguna dan pengelola sistem

RoguePlanet tidak berarti pembaruan Windows menjadi tidak berguna. Patch tetap merupakan lapisan pertahanan penting dan harus segera dipasang. Namun, kasus ini menunjukkan bahwa pembaruan rutin bukan satu-satunya batas keamanan—terutama ketika kerentanan baru ditemukan setelah patch diterbitkan.

Bagi organisasi, risiko terbesar berada pada perangkat yang sudah lebih dulu dikuasai melalui akun berhak rendah. Pemantauan aktivitas mencurigakan, pembatasan hak akses, isolasi endpoint yang terindikasi berkompromi, dan penerapan mitigasi resmi ketika tersedia tetap diperlukan sambil menunggu perbaikan khusus dari Microsoft.

Pada akhirnya, RoguePlanet memperlihatkan dampak nyata ketika jalur pengungkapan kerentanan antara peneliti dan vendor mengalami kebuntuan: kode eksploitasi dapat tersedia untuk publik sebelum perbaikan siap, sementara pengguna harus menghadapi celah baru bahkan setelah memasang pembaruan keamanan terbaru.