Come funziona: una race condition TOCTOU nel cuore dell'antivirus

Il difetto è una race condition Time-of-Check to Time-of-Use (TOCTOU) radicata in un problema di risoluzione impropria dei link (CWE-59) . Il Microsoft Malware Protection Engine viene eseguito con i privilegi di NT AUTHORITY\SYSTEM per progettazione. L'exploit mette il motore in competizione con sé stesso:

• Un utente con privilegi bassi crea un collegamento simbolico o un file appositamente predisposto che il motore controlla (Time-of-Check) e poi lo scambia prima che il motore lo utilizzi (Time-of-Use).
• Vincendo questa gara — utilizzando un oplock per controllare in modo affidabile i tempi — l'aggressore reindirizza l'operazione sui file del motore verso una posizione arbitraria, come una directory controllata dall'aggressore .
• Il motore esegue quindi un'operazione privilegiata sui file (ad esempio scrivendo o eseguendo) nel percorso scelto dall'aggressore, generando di fatto un shell dei comandi in esecuzione con privilegi SYSTEM .

L'exploit è locale — l'aggressore deve già avere accesso come utente standard alla macchina — ma non richiede privilegi aggiuntivi oltre a questo . Funziona anche indipendentemente dal fatto che la protezione in tempo reale di Defender sia attivata o disattivata .

Punteggio CVSS e gravità

Microsoft assegna un punteggio base CVSS 3.1 di 7.8 (ALTO), utilizzando Complessità dell'attacco: Bassa (sostenendo che l'oplock renda la race condition affidabile). L'NVD elenca un punteggio base di 7.0 (ALTO) con Complessità dell'attacco: Alta (riconoscendo la difficoltà della race condition). Il vettore temporale (E:F/RL:U/RC:C) produce un punteggio temporale di 7.6 secondo la valutazione di Microsoft .

La vulnerabilità è classificata come "Sfruttamento più probabile" nell'indice di sfruttabilità di Microsoft .

Cronologia della divulgazione pubblica

Il divario tra la pubblicazione dell'exploit pubblico e il riconoscimento da parte di Microsoft è stato critico:

Il divario tra la pubblicazione dell'exploit pubblico (10 giugno) e il riconoscimento di Microsoft (16 giugno) è stato di circa 6 giorni. All'inizio di luglio 2026, l'exploit è pubblico da circa un mese senza correzione .

Chi l'ha scoperta: la campagna Nightmare Eclipse

La vulnerabilità è stata scoperta e divulgata pubblicamente da un ricercatore di sicurezza che opera con gli pseudonimi Nightmare Eclipse (noto anche come Chaotic Eclipse) .

Questo è il settimo exploit della campagna in corso del ricercatore contro Microsoft Defender. Le precedenti falle di Defender divulgate includevano vulnerabilità di escalation dei privilegi e bypass come BlueHammer, RedSun, UnDefend, YellowKey e GreenPlasma . TechRadar descrive RoguePlanet come parte di "una campagna di ricerca sostenuta contro la superficie d'attacco di Defender" . Le riproduzioni PoC validate da gruppi di terze parti come ThreatLocker confermano l'affidabilità della catena di exploit .

Critiche della comunità per il ritardo della patch

Il prolungato divario di patch ha suscitato aspre critiche da parte della comunità della sicurezza:

• Red Hound ha descritto la situazione senza mezzi termini: "Un exploit funzionante per l'antivirus fornito con ogni copia di Windows è pubblico da più di due settimane e non c'è ancora una patch" .
• Cloud Security Alliance ha osservato che al 19 giugno — nove giorni dopo la divulgazione — non era stata annunciata alcuna patch o tempistica di rilascio straordinaria, definendo la finestra "allarmante" per una vulnerabilità presente su ogni sistema Windows consumer e aziendale .
• cve.tools ha riferito che al 1° luglio 2026 (21 giorni dopo la divulgazione), non esisteva alcuna patch e l'esposizione prolungata era "insolita per uno zero-day pubblicamente sfruttato in un componente di sicurezza fondamentale" .
• Molte fonti hanno evidenziato l'ironia che il motore antivirus di Microsoft stesso — l'ultima linea di difesa — veniva utilizzato come vettore per un compromesso a livello SYSTEM e che la mancanza di urgenza da parte di Microsoft sollevava interrogativi sui suoi processi di risposta alle vulnerabilità .

Il nocciolo della frustrazione: poiché Defender è abilitato per impostazione predefinita su tutte le installazioni Windows, la vulnerabilità ha un'enorme superficie d'attacco, eppure non è stata emessa alcuna patch provvisoria (straordinaria) nonostante il codice di exploit funzionante sia pubblicamente disponibile .

Mitigazioni provvisorie e misure che le organizzazioni dovrebbero adottare

Le fonti raccomandano all'unanimità le seguenti misure fino a quando Microsoft non rilascerà una correzione permanente:

Applicare la correzione quando disponibile

• Aggiornare il Microsoft Malware Protection Engine (MsMpEng) non appena Microsoft rilascerà un aggiornamento della sicurezza. Di solito viene distribuito tramite Windows Update o il Catalogo di Microsoft Update .
• Al 10 luglio 2026 non esisteva alcuna correzione — monitorare l'avviso CVE e il Microsoft Security Response Center (MSRC) per un rilascio straordinario .

Mitigazioni provvisorie (nessuna patch disponibile)

• Limitare gli account utente locali. Poiché l'exploit richiede l'accesso interattivo, ridurre al minimo il numero di utenti standard sui sistemi sensibili .
• Applicare AppLocker o WDAC (Windows Defender Application Control) per bloccare l'esecuzione di eseguibili e script non autorizzati, inclusi i binari PoC non attendibili .
• Abilitare le regole ASR (Attack Surface Reduction) che possono bloccare il furto di credenziali e i processi non attendibili — sebbene ciò potrebbe non fermare direttamente la race condition TOCTOU .
• Monitorare gli artefatti noti degli exploit. L'exploit si basa sulla creazione di oplock e collegamenti simbolici specifici. Distribuire regole EDR che avvisino in caso di utilizzo anomalo di oplock e creazione imprevista di collegamenti simbolici da parte di processi non SYSTEM .
• Limitare prioritariamente l'accesso fisico/logico agli endpoint Windows per utenti non attendibili o non verificati. Questo è il controllo provvisorio più affidabile poiché la vulnerabilità richiede l'esecuzione di codice locale .
• Utilizzare modelli con privilegi minimi — non concedere diritti di amministratore locale agli utenti standard, anche se ciò non impedisce l'exploit (escala da utente standard a SYSTEM) .

Come funziona: una race condition TOCTOU nel cuore dell'antivirus

Il difetto è una race condition Time-of-Check to Time-of-Use (TOCTOU) radicata in un problema di risoluzione impropria dei link (CWE-59) . Il Microsoft Malware Protection Engine viene eseguito con i privilegi di NT AUTHORITY\SYSTEM per progettazione. L'exploit mette il motore in competizione con sé stesso:

• Un utente con privilegi bassi crea un collegamento simbolico o un file appositamente predisposto che il motore controlla (Time-of-Check) e poi lo scambia prima che il motore lo utilizzi (Time-of-Use).
• Vincendo questa gara — utilizzando un oplock per controllare in modo affidabile i tempi — l'aggressore reindirizza l'operazione sui file del motore verso una posizione arbitraria, come una directory controllata dall'aggressore .
• Il motore esegue quindi un'operazione privilegiata sui file (ad esempio scrivendo o eseguendo) nel percorso scelto dall'aggressore, generando di fatto un shell dei comandi in esecuzione con privilegi SYSTEM .

L'exploit è locale — l'aggressore deve già avere accesso come utente standard alla macchina — ma non richiede privilegi aggiuntivi oltre a questo . Funziona anche indipendentemente dal fatto che la protezione in tempo reale di Defender sia attivata o disattivata .

Punteggio CVSS e gravità

Microsoft assegna un punteggio base CVSS 3.1 di 7.8 (ALTO), utilizzando Complessità dell'attacco: Bassa (sostenendo che l'oplock renda la race condition affidabile). L'NVD elenca un punteggio base di 7.0 (ALTO) con Complessità dell'attacco: Alta (riconoscendo la difficoltà della race condition). Il vettore temporale (E:F/RL:U/RC:C) produce un punteggio temporale di 7.6 secondo la valutazione di Microsoft .

La vulnerabilità è classificata come "Sfruttamento più probabile" nell'indice di sfruttabilità di Microsoft .

Cronologia della divulgazione pubblica

Il divario tra la pubblicazione dell'exploit pubblico e il riconoscimento da parte di Microsoft è stato critico:

Il divario tra la pubblicazione dell'exploit pubblico (10 giugno) e il riconoscimento di Microsoft (16 giugno) è stato di circa 6 giorni. All'inizio di luglio 2026, l'exploit è pubblico da circa un mese senza correzione .

Chi l'ha scoperta: la campagna Nightmare Eclipse

La vulnerabilità è stata scoperta e divulgata pubblicamente da un ricercatore di sicurezza che opera con gli pseudonimi Nightmare Eclipse (noto anche come Chaotic Eclipse) .

Questo è il settimo exploit della campagna in corso del ricercatore contro Microsoft Defender. Le precedenti falle di Defender divulgate includevano vulnerabilità di escalation dei privilegi e bypass come BlueHammer, RedSun, UnDefend, YellowKey e GreenPlasma . TechRadar descrive RoguePlanet come parte di "una campagna di ricerca sostenuta contro la superficie d'attacco di Defender" . Le riproduzioni PoC validate da gruppi di terze parti come ThreatLocker confermano l'affidabilità della catena di exploit .

Critiche della comunità per il ritardo della patch

Il prolungato divario di patch ha suscitato aspre critiche da parte della comunità della sicurezza:

• Red Hound ha descritto la situazione senza mezzi termini: "Un exploit funzionante per l'antivirus fornito con ogni copia di Windows è pubblico da più di due settimane e non c'è ancora una patch" .
• Cloud Security Alliance ha osservato che al 19 giugno — nove giorni dopo la divulgazione — non era stata annunciata alcuna patch o tempistica di rilascio straordinaria, definendo la finestra "allarmante" per una vulnerabilità presente su ogni sistema Windows consumer e aziendale .
• cve.tools ha riferito che al 1° luglio 2026 (21 giorni dopo la divulgazione), non esisteva alcuna patch e l'esposizione prolungata era "insolita per uno zero-day pubblicamente sfruttato in un componente di sicurezza fondamentale" .
• Molte fonti hanno evidenziato l'ironia che il motore antivirus di Microsoft stesso — l'ultima linea di difesa — veniva utilizzato come vettore per un compromesso a livello SYSTEM e che la mancanza di urgenza da parte di Microsoft sollevava interrogativi sui suoi processi di risposta alle vulnerabilità .

Il nocciolo della frustrazione: poiché Defender è abilitato per impostazione predefinita su tutte le installazioni Windows, la vulnerabilità ha un'enorme superficie d'attacco, eppure non è stata emessa alcuna patch provvisoria (straordinaria) nonostante il codice di exploit funzionante sia pubblicamente disponibile .

Mitigazioni provvisorie e misure che le organizzazioni dovrebbero adottare

Le fonti raccomandano all'unanimità le seguenti misure fino a quando Microsoft non rilascerà una correzione permanente:

Applicare la correzione quando disponibile

• Aggiornare il Microsoft Malware Protection Engine (MsMpEng) non appena Microsoft rilascerà un aggiornamento della sicurezza. Di solito viene distribuito tramite Windows Update o il Catalogo di Microsoft Update .
• Al 10 luglio 2026 non esisteva alcuna correzione — monitorare l'avviso CVE e il Microsoft Security Response Center (MSRC) per un rilascio straordinario .

Mitigazioni provvisorie (nessuna patch disponibile)

• Limitare gli account utente locali. Poiché l'exploit richiede l'accesso interattivo, ridurre al minimo il numero di utenti standard sui sistemi sensibili .
• Applicare AppLocker o WDAC (Windows Defender Application Control) per bloccare l'esecuzione di eseguibili e script non autorizzati, inclusi i binari PoC non attendibili .
• Abilitare le regole ASR (Attack Surface Reduction) che possono bloccare il furto di credenziali e i processi non attendibili — sebbene ciò potrebbe non fermare direttamente la race condition TOCTOU .
• Monitorare gli artefatti noti degli exploit. L'exploit si basa sulla creazione di oplock e collegamenti simbolici specifici. Distribuire regole EDR che avvisino in caso di utilizzo anomalo di oplock e creazione imprevista di collegamenti simbolici da parte di processi non SYSTEM .
• Limitare prioritariamente l'accesso fisico/logico agli endpoint Windows per utenti non attendibili o non verificati. Questo è il controllo provvisorio più affidabile poiché la vulnerabilità richiede l'esecuzione di codice locale .
• Utilizzare modelli con privilegi minimi — non concedere diritti di amministratore locale agli utenti standard, anche se ciò non impedisce l'exploit (escala da utente standard a SYSTEM) .