Come funziona la vulnerabilità

Il difetto si trova nella logica di remediation dei file di Microsoft Defender, cioè nella procedura con cui l’antivirus mette in quarantena o elimina un file ritenuto dannoso . In particolare, RoguePlanet sfrutta una race condition, una condizione in cui il risultato dipende dall’ordine e dalla tempistica di operazioni eseguite quasi contemporaneamente.

In uno scenario descritto dai ricercatori, Defender controlla il percorso di un file, ma non lo verifica nuovamente nell’istante in cui esegue l’operazione di scrittura. Questa breve finestra può essere sfruttata per indirizzare l’azione verso un file legittimo di Defender o verso un’altra posizione protetta .

Se la manipolazione riesce, l’attaccante può arrivare a sovrascrivere file o a eseguire codice con privilegi SYSTEM . L’exploit, tuttavia, non è affidabile in ogni ambiente: Nightmare Eclipse lo ha descritto come un meccanismo “tutto o niente”, con successo completo su alcune macchine e fallimenti su altre .

Gli elementi principali da tenere presenti sono:

• Serve già un accesso locale: l’aggressore deve disporre di un account con privilegi ridotti sul dispositivo prima di tentare l’escalation .
• Il problema è stato riprodotto indipendentemente: la società di sicurezza ThreatLocker ha confermato il funzionamento su sistemi che avevano già ricevuto gli aggiornamenti di giugno 2026 .
• Non risultava ancora disponibile una patch dedicata: al momento della divulgazione RoguePlanet continuava a funzionare sui sistemi Windows 10 e Windows 11 aggiornati .

La tecnica ricorda quella associata a precedenti divulgazioni di Nightmare Eclipse, tra cui BlueHammer (CVE-2026-33825), anch’essa basata su una race condition di tipo time-of-check to time-of-use nella gestione delle minacce di Defender .

Il tempismo con il Patch Tuesday da 200 vulnerabilità

Il Patch Tuesday di giugno 2026 è stato presentato come il più ampio aggiornamento di sicurezza mai distribuito da Microsoft: ha corretto 200 vulnerabilità, tra cui tre zero-day e due problemi di Defender già divulgati in precedenza . Tra questi figuravano BlueHammer e RedSun, due falle attribuite alla stessa identità online.

Rapid7 ha osservato che tre delle vulnerabilità pubblicamente note incluse nel pacchetto di giugno erano direttamente collegate alla vicenda Nightmare Eclipse . Poche ore dopo l’arrivo degli aggiornamenti, il ricercatore ha pubblicato RoguePlanet .

La sequenza ha un peso che va oltre il singolo difetto tecnico: dimostra che l’installazione degli aggiornamenti di giugno non eliminava ogni possibile percorso verso privilegi elevati. Non significa che ogni sistema aggiornato sia automaticamente compromesso, ma che il Patch Tuesday, da solo, non costituisce una barriera di sicurezza assoluta quando emergono vulnerabilità non ancora corrette.

La disputa tra Nightmare Eclipse e Microsoft

RoguePlanet è l’ultimo episodio di una serie iniziata nell’aprile 2026. Prima di questa divulgazione, Nightmare Eclipse aveva reso pubblici sei zero-day che coinvolgevano Defender e altri componenti di Windows .

Le accuse del ricercatore

Nightmare Eclipse sostiene di aver inviato più segnalazioni attraverso il portale ufficiale MSRC, il Microsoft Security Response Center, ma afferma che alcune sarebbero state ignorate, chiuse senza spiegazioni o gestite in modo sbrigativo . Il ricercatore sostiene inoltre che Microsoft abbia disabilitato i suoi account su GitHub, GitLab e sul portale MSRC, interrompendo di fatto i canali ufficiali per la segnalazione delle vulnerabilità .

Dopo aver dichiarato di essersi sentito umiliato e di non avere più possibilità di interlocuzione, ha iniziato a pubblicare direttamente gli exploit, in alcuni casi accompagnati da codice proof of concept funzionante .

I sei zero-day precedenti

La sequenza precedente a RoguePlanet comprendeva:

• BlueHammer (CVE-2026-33825), una race condition in Defender che consentiva l’escalation locale dei privilegi ;
• RedSun (CVE-2026-41091), un’altra vulnerabilità di escalation in Defender ;
• UnDefend (CVE-2026-45498), un ulteriore difetto del prodotto di sicurezza ;
• YellowKey, GreenPlasma e MiniPlasma, vulnerabilità che coinvolgevano componenti tra cui BitLocker e CTF .

Entro la fine di maggio, BlueHammer, RedSun e UnDefend risultavano sfruttati in attacchi reali e CISA, l’agenzia statunitense per la sicurezza informatica e delle infrastrutture, li aveva inseriti nel catalogo delle vulnerabilità note sfruttate, noto come Known Exploited Vulnerabilities .

La risposta di Microsoft e il successivo dietrofront

Microsoft ha definito “irresponsabili” le divulgazioni non coordinate, sostenendo che la pubblicazione di dettagli tecnici e codice di exploit prima della disponibilità delle patch esponesse i clienti a rischi significativi . A fine maggio la società ha anche minacciato di coinvolgere le autorità e di valutare un’indagine penale .

La posizione ha però provocato una forte reazione nella comunità della sicurezza. I critici hanno sostenuto che la gestione delle segnalazioni iniziali e la sospensione degli account avessero contribuito a spingere il ricercatore verso la divulgazione pubblica .

Il 2 giugno Microsoft ha ammorbidito il tono, dichiarando di non avere “alcuna intenzione di intraprendere azioni contro persone che svolgono o pubblicano ricerca sulla sicurezza” . Il conflitto, tuttavia, era già diventato pubblico e RoguePlanet è arrivato proprio nel momento più simbolico possibile: subito dopo il più grande aggiornamento di sicurezza di Microsoft.

Cosa significa per chi difende i sistemi Windows

RoguePlanet richiede già un accesso locale a bassa autorizzazione e non è descritto come un exploit affidabile su ogni macchina. Resta però rilevante perché coinvolge un componente di sicurezza centrale e, secondo le verifiche disponibili, può funzionare anche su sistemi con le patch di giugno installate .

Per gli amministratori, il caso conferma l’importanza di non considerare l’aggiornamento mensile come l’unica misura difensiva. Il monitoraggio degli endpoint, la limitazione degli account locali, la segmentazione e la ricerca di comportamenti anomali restano essenziali mentre si attende una correzione specifica.

Più in generale, la vicenda mostra anche il costo di un processo di divulgazione delle vulnerabilità che si interrompe. Quando il dialogo tra ricercatori e produttori fallisce, il problema tecnico può trasformarsi rapidamente in uno scontro pubblico, con gli utenti esposti nel mezzo.

Come funziona la vulnerabilità

Il difetto si trova nella logica di remediation dei file di Microsoft Defender, cioè nella procedura con cui l’antivirus mette in quarantena o elimina un file ritenuto dannoso . In particolare, RoguePlanet sfrutta una race condition, una condizione in cui il risultato dipende dall’ordine e dalla tempistica di operazioni eseguite quasi contemporaneamente.

In uno scenario descritto dai ricercatori, Defender controlla il percorso di un file, ma non lo verifica nuovamente nell’istante in cui esegue l’operazione di scrittura. Questa breve finestra può essere sfruttata per indirizzare l’azione verso un file legittimo di Defender o verso un’altra posizione protetta .

Se la manipolazione riesce, l’attaccante può arrivare a sovrascrivere file o a eseguire codice con privilegi SYSTEM . L’exploit, tuttavia, non è affidabile in ogni ambiente: Nightmare Eclipse lo ha descritto come un meccanismo “tutto o niente”, con successo completo su alcune macchine e fallimenti su altre .

Gli elementi principali da tenere presenti sono:

• Serve già un accesso locale: l’aggressore deve disporre di un account con privilegi ridotti sul dispositivo prima di tentare l’escalation .
• Il problema è stato riprodotto indipendentemente: la società di sicurezza ThreatLocker ha confermato il funzionamento su sistemi che avevano già ricevuto gli aggiornamenti di giugno 2026 .
• Non risultava ancora disponibile una patch dedicata: al momento della divulgazione RoguePlanet continuava a funzionare sui sistemi Windows 10 e Windows 11 aggiornati .

La tecnica ricorda quella associata a precedenti divulgazioni di Nightmare Eclipse, tra cui BlueHammer (CVE-2026-33825), anch’essa basata su una race condition di tipo time-of-check to time-of-use nella gestione delle minacce di Defender .

Il tempismo con il Patch Tuesday da 200 vulnerabilità

Il Patch Tuesday di giugno 2026 è stato presentato come il più ampio aggiornamento di sicurezza mai distribuito da Microsoft: ha corretto 200 vulnerabilità, tra cui tre zero-day e due problemi di Defender già divulgati in precedenza . Tra questi figuravano BlueHammer e RedSun, due falle attribuite alla stessa identità online.

Rapid7 ha osservato che tre delle vulnerabilità pubblicamente note incluse nel pacchetto di giugno erano direttamente collegate alla vicenda Nightmare Eclipse . Poche ore dopo l’arrivo degli aggiornamenti, il ricercatore ha pubblicato RoguePlanet .

La sequenza ha un peso che va oltre il singolo difetto tecnico: dimostra che l’installazione degli aggiornamenti di giugno non eliminava ogni possibile percorso verso privilegi elevati. Non significa che ogni sistema aggiornato sia automaticamente compromesso, ma che il Patch Tuesday, da solo, non costituisce una barriera di sicurezza assoluta quando emergono vulnerabilità non ancora corrette.

La disputa tra Nightmare Eclipse e Microsoft

RoguePlanet è l’ultimo episodio di una serie iniziata nell’aprile 2026. Prima di questa divulgazione, Nightmare Eclipse aveva reso pubblici sei zero-day che coinvolgevano Defender e altri componenti di Windows .

Le accuse del ricercatore

Nightmare Eclipse sostiene di aver inviato più segnalazioni attraverso il portale ufficiale MSRC, il Microsoft Security Response Center, ma afferma che alcune sarebbero state ignorate, chiuse senza spiegazioni o gestite in modo sbrigativo . Il ricercatore sostiene inoltre che Microsoft abbia disabilitato i suoi account su GitHub, GitLab e sul portale MSRC, interrompendo di fatto i canali ufficiali per la segnalazione delle vulnerabilità .

Dopo aver dichiarato di essersi sentito umiliato e di non avere più possibilità di interlocuzione, ha iniziato a pubblicare direttamente gli exploit, in alcuni casi accompagnati da codice proof of concept funzionante .

I sei zero-day precedenti

La sequenza precedente a RoguePlanet comprendeva:

• BlueHammer (CVE-2026-33825), una race condition in Defender che consentiva l’escalation locale dei privilegi ;
• RedSun (CVE-2026-41091), un’altra vulnerabilità di escalation in Defender ;
• UnDefend (CVE-2026-45498), un ulteriore difetto del prodotto di sicurezza ;
• YellowKey, GreenPlasma e MiniPlasma, vulnerabilità che coinvolgevano componenti tra cui BitLocker e CTF .

Entro la fine di maggio, BlueHammer, RedSun e UnDefend risultavano sfruttati in attacchi reali e CISA, l’agenzia statunitense per la sicurezza informatica e delle infrastrutture, li aveva inseriti nel catalogo delle vulnerabilità note sfruttate, noto come Known Exploited Vulnerabilities .

La risposta di Microsoft e il successivo dietrofront

Microsoft ha definito “irresponsabili” le divulgazioni non coordinate, sostenendo che la pubblicazione di dettagli tecnici e codice di exploit prima della disponibilità delle patch esponesse i clienti a rischi significativi . A fine maggio la società ha anche minacciato di coinvolgere le autorità e di valutare un’indagine penale .

La posizione ha però provocato una forte reazione nella comunità della sicurezza. I critici hanno sostenuto che la gestione delle segnalazioni iniziali e la sospensione degli account avessero contribuito a spingere il ricercatore verso la divulgazione pubblica .

Il 2 giugno Microsoft ha ammorbidito il tono, dichiarando di non avere “alcuna intenzione di intraprendere azioni contro persone che svolgono o pubblicano ricerca sulla sicurezza” . Il conflitto, tuttavia, era già diventato pubblico e RoguePlanet è arrivato proprio nel momento più simbolico possibile: subito dopo il più grande aggiornamento di sicurezza di Microsoft.

Cosa significa per chi difende i sistemi Windows

RoguePlanet richiede già un accesso locale a bassa autorizzazione e non è descritto come un exploit affidabile su ogni macchina. Resta però rilevante perché coinvolge un componente di sicurezza centrale e, secondo le verifiche disponibili, può funzionare anche su sistemi con le patch di giugno installate .

Per gli amministratori, il caso conferma l’importanza di non considerare l’aggiornamento mensile come l’unica misura difensiva. Il monitoraggio degli endpoint, la limitazione degli account locali, la segmentazione e la ricerca di comportamenti anomali restano essenziali mentre si attende una correzione specifica.

Più in generale, la vicenda mostra anche il costo di un processo di divulgazione delle vulnerabilità che si interrompe. Quando il dialogo tra ricercatori e produttori fallisce, il problema tecnico può trasformarsi rapidamente in uno scontro pubblico, con gli utenti esposti nel mezzo.