Eksploit itu direka untuk berfungsi pada Windows 10 dan Windows 11 yang telah memasang semua kemas kini Jun 2026. Lebih daripada sekadar demonstrasi teknikal, penerbitannya menjadi babak terbaharu dalam pertikaian terbuka dan semakin peribadi antara penyelidik berkenaan dengan Microsoft mengenai cara kelemahan keselamatan dilaporkan dan dibaiki.

Bagaimana RoguePlanet memberikan akses SYSTEM

RoguePlanet ialah eksploit peningkatan keistimewaan setempat atau local privilege escalation (LPE). Ia menyasarkan keadaan perlumbaan dalam proses pemulihan fail Microsoft Defender .

Apabila Defender mengesan fail yang dianggap berniat jahat—terutamanya fail yang dihoskan pada pelayan SMB jauh—perisian itu akan menyemak laluan fail sebelum mengambil tindakan seperti mengkuarantin atau memadamnya. Masalahnya, Defender tidak menyemak semula laluan tersebut tepat ketika operasi tulis dilakukan. Jurang masa yang sangat singkat ini mewujudkan keadaan perlumbaan, yang dikenali sebagai kelemahan time-of-check to time-of-use (TOCTOU) .

Jika penyerang berjaya mengawal detik tersebut, Defender boleh diarahkan untuk menulis ganti fail sah miliknya sendiri atau menjalankan kod sewenang-wenangnya. Hasilnya, penyerang berpotensi membuka gesaan arahan dengan keistimewaan SYSTEM, iaitu tahap akses tertinggi pada komputer Windows .

Namun, eksploit ini bukan mudah digunakan secara konsisten. Nightmare Eclipse menyifatkannya sebagai “hit or miss”—berjaya sepenuhnya pada sesetengah mesin tetapi gagal sepenuhnya pada mesin lain .

Antara perkara penting berkaitan ancaman ini ialah:

• Akses awal diperlukan: Penyerang perlu terlebih dahulu mempunyai akses setempat bertahap rendah pada komputer sasaran sebelum cuba meningkatkan keistimewaan .
• Disahkan secara bebas: Firma keselamatan ThreatLocker berjaya menghasilkan semula eksploit itu pada sistem yang telah memasang semua kemas kini Jun 2026 .
• Belum ada tampalan khusus: Pada waktu pendedahan, kerentanan ini masih menjejaskan Windows 10 dan Windows 11 yang telah dikemas kini sepenuhnya .

Teknik RoguePlanet meneruskan pendekatan yang digunakan dalam pendedahan Nightmare Eclipse sebelum ini, termasuk BlueHammer (CVE-2026-33825), yang turut mengeksploitasi keadaan perlumbaan dalam proses pemulihan Microsoft Defender .

Mengapa RoguePlanet muncul tepat pada Patch Tuesday?

Patch Tuesday ialah kemas kini keselamatan bulanan Microsoft. Bagi Jun 2026, Microsoft menangani rekod 200 kerentanan, termasuk tiga sifar hari dan dua kelemahan Defender yang pernah didedahkan—BlueHammer dan RedSun .

Rapid7 menyatakan bahawa tiga daripada kerentanan yang telah diketahui umum dalam kelompok kemas kini Jun itu berkait secara langsung dengan saga Nightmare Eclipse . Sebelum itu, pada 28 Mei, penyelidik tersebut menjanjikan pelepasan sifar hari yang “bone shattering” pada hari Patch Tuesday .

RoguePlanet kemudiannya diterbitkan hanya beberapa jam selepas tampalan Microsoft mula diedarkan. Masa penerbitan itu dilihat sebagai mesej langsung: walaupun kemas kini besar telah dilancarkan, kelemahan baharu dalam komponen keselamatan teras Windows masih boleh ditemui dan dieksploitasi .

Pertikaian berbulan-bulan dengan Microsoft

RoguePlanet ialah sifar hari awam ketujuh yang dikaitkan dengan Nightmare Eclipse sejak April 2026 . Penyelidik itu turut menggunakan nama samaran Chaotic Eclipse dan MSNightmare.

Dakwaan Nightmare Eclipse

Nightmare Eclipse mendakwa bahawa mereka berulang kali menghantar laporan kerentanan melalui portal rasmi Microsoft Security Response Center (MSRC), tetapi laporan tersebut sama ada tidak dilayan, ditutup tanpa penjelasan, atau menerima maklum balas yang dianggap sambil lewa .

Penyelidik itu juga mendakwa Microsoft menyahaktifkan akaun mereka di GitHub, GitLab dan portal MSRC, sekali gus menyukarkan mereka menggunakan saluran rasmi untuk melaporkan pepijat . Selepas berasa dipermalukan dan tidak mempunyai jalan penyelesaian, mereka mula menerbitkan eksploit sifar hari secara terbuka, termasuk kod bukti konsep yang boleh berfungsi .

Enam pendedahan sebelum RoguePlanet

Sebelum RoguePlanet, enam kerentanan Windows telah didedahkan secara terbuka:

• BlueHammer (CVE-2026-33825) — kelemahan keadaan perlumbaan Defender yang membolehkan peningkatan keistimewaan
• RedSun (CVE-2026-41091) — satu lagi kelemahan LPE dalam Defender
• UnDefend (CVE-2026-45498) — kelemahan ketiga yang berkaitan dengan Defender
• YellowKey, GreenPlasma dan MiniPlasma — kelemahan yang menjejaskan komponen termasuk BitLocker dan CTF

Menjelang akhir Mei, BlueHammer, RedSun dan UnDefend disahkan sedang dieksploitasi dalam serangan sebenar. Agensi Keselamatan Siber dan Infrastruktur Amerika Syarikat (CISA) kemudian menyenaraikannya dalam katalog Known Exploited Vulnerabilities .

Respons Microsoft yang berubah arah

Microsoft pada mulanya mengecam pendedahan tanpa penyelarasan itu sebagai “tidak bertanggungjawab” dan memberi amaran bahawa pelanggan terdedah kepada risiko besar sebelum tampalan atau langkah mitigasi tersedia .

Ketegangan memuncak pada penghujung Mei apabila Microsoft mengancam untuk merujuk perkara itu kepada pihak penguat kuasa bagi siasatan jenayah . Tindakan tersebut mencetuskan bantahan daripada komuniti keselamatan, yang berhujah bahawa cara Microsoft mengendalikan laporan asal—termasuk dakwaan mengabaikan laporan dan menarik balik akses akaun penyelidik—turut menyumbang kepada pendedahan terbuka itu .

Pada 2 Jun, Microsoft melembutkan pendiriannya secara terbuka dan menyatakan bahawa ia “tidak berniat mengambil tindakan terhadap individu yang menjalankan atau menerbitkan penyelidikan keselamatan” . Namun, pada ketika itu, pertikaian tersebut sudah menjadi perhatian umum dan RoguePlanet tetap diterbitkan seperti yang dijanjikan.

Apa maknanya untuk pentadbir Windows?

RoguePlanet menunjukkan bahawa memasang Patch Tuesday masih belum semestinya bermakna semua laluan serangan telah tertutup. Dalam kes ini, eksploit berfungsi melalui kelemahan baharu dalam proses pemulihan Defender, bukan melalui kerentanan yang baru sahaja ditampal.

Pentadbir sistem dan pasukan keselamatan perlu menganggap kemas kini Windows sebagai satu lapisan pertahanan, bukannya sempadan keselamatan mutlak. Sementara menunggu tampalan khusus, pemantauan aktiviti pelik, pengurangan akses pengguna setempat dan pengasingan sistem yang mencurigakan kekal penting.

Pada sudut yang lebih luas, RoguePlanet juga menonjolkan risiko apabila saluran pendedahan kerentanan antara penyelidik dan vendor gagal berfungsi. Pendedahan tanpa penyelarasan boleh mendedahkan pengguna kepada kod eksploit sebelum perlindungan tersedia, tetapi tindak balas vendor yang terlalu keras pula berisiko menghalang penyelidik daripada melaporkan kelemahan melalui saluran rasmi.

Eksploit itu direka untuk berfungsi pada Windows 10 dan Windows 11 yang telah memasang semua kemas kini Jun 2026. Lebih daripada sekadar demonstrasi teknikal, penerbitannya menjadi babak terbaharu dalam pertikaian terbuka dan semakin peribadi antara penyelidik berkenaan dengan Microsoft mengenai cara kelemahan keselamatan dilaporkan dan dibaiki.

Bagaimana RoguePlanet memberikan akses SYSTEM

RoguePlanet ialah eksploit peningkatan keistimewaan setempat atau local privilege escalation (LPE). Ia menyasarkan keadaan perlumbaan dalam proses pemulihan fail Microsoft Defender .

Apabila Defender mengesan fail yang dianggap berniat jahat—terutamanya fail yang dihoskan pada pelayan SMB jauh—perisian itu akan menyemak laluan fail sebelum mengambil tindakan seperti mengkuarantin atau memadamnya. Masalahnya, Defender tidak menyemak semula laluan tersebut tepat ketika operasi tulis dilakukan. Jurang masa yang sangat singkat ini mewujudkan keadaan perlumbaan, yang dikenali sebagai kelemahan time-of-check to time-of-use (TOCTOU) .

Jika penyerang berjaya mengawal detik tersebut, Defender boleh diarahkan untuk menulis ganti fail sah miliknya sendiri atau menjalankan kod sewenang-wenangnya. Hasilnya, penyerang berpotensi membuka gesaan arahan dengan keistimewaan SYSTEM, iaitu tahap akses tertinggi pada komputer Windows .

Namun, eksploit ini bukan mudah digunakan secara konsisten. Nightmare Eclipse menyifatkannya sebagai “hit or miss”—berjaya sepenuhnya pada sesetengah mesin tetapi gagal sepenuhnya pada mesin lain .

Antara perkara penting berkaitan ancaman ini ialah:

• Akses awal diperlukan: Penyerang perlu terlebih dahulu mempunyai akses setempat bertahap rendah pada komputer sasaran sebelum cuba meningkatkan keistimewaan .
• Disahkan secara bebas: Firma keselamatan ThreatLocker berjaya menghasilkan semula eksploit itu pada sistem yang telah memasang semua kemas kini Jun 2026 .
• Belum ada tampalan khusus: Pada waktu pendedahan, kerentanan ini masih menjejaskan Windows 10 dan Windows 11 yang telah dikemas kini sepenuhnya .

Teknik RoguePlanet meneruskan pendekatan yang digunakan dalam pendedahan Nightmare Eclipse sebelum ini, termasuk BlueHammer (CVE-2026-33825), yang turut mengeksploitasi keadaan perlumbaan dalam proses pemulihan Microsoft Defender .

Mengapa RoguePlanet muncul tepat pada Patch Tuesday?

Patch Tuesday ialah kemas kini keselamatan bulanan Microsoft. Bagi Jun 2026, Microsoft menangani rekod 200 kerentanan, termasuk tiga sifar hari dan dua kelemahan Defender yang pernah didedahkan—BlueHammer dan RedSun .

Rapid7 menyatakan bahawa tiga daripada kerentanan yang telah diketahui umum dalam kelompok kemas kini Jun itu berkait secara langsung dengan saga Nightmare Eclipse . Sebelum itu, pada 28 Mei, penyelidik tersebut menjanjikan pelepasan sifar hari yang “bone shattering” pada hari Patch Tuesday .

RoguePlanet kemudiannya diterbitkan hanya beberapa jam selepas tampalan Microsoft mula diedarkan. Masa penerbitan itu dilihat sebagai mesej langsung: walaupun kemas kini besar telah dilancarkan, kelemahan baharu dalam komponen keselamatan teras Windows masih boleh ditemui dan dieksploitasi .

Pertikaian berbulan-bulan dengan Microsoft

RoguePlanet ialah sifar hari awam ketujuh yang dikaitkan dengan Nightmare Eclipse sejak April 2026 . Penyelidik itu turut menggunakan nama samaran Chaotic Eclipse dan MSNightmare.

Dakwaan Nightmare Eclipse

Nightmare Eclipse mendakwa bahawa mereka berulang kali menghantar laporan kerentanan melalui portal rasmi Microsoft Security Response Center (MSRC), tetapi laporan tersebut sama ada tidak dilayan, ditutup tanpa penjelasan, atau menerima maklum balas yang dianggap sambil lewa .

Penyelidik itu juga mendakwa Microsoft menyahaktifkan akaun mereka di GitHub, GitLab dan portal MSRC, sekali gus menyukarkan mereka menggunakan saluran rasmi untuk melaporkan pepijat . Selepas berasa dipermalukan dan tidak mempunyai jalan penyelesaian, mereka mula menerbitkan eksploit sifar hari secara terbuka, termasuk kod bukti konsep yang boleh berfungsi .

Enam pendedahan sebelum RoguePlanet

Sebelum RoguePlanet, enam kerentanan Windows telah didedahkan secara terbuka:

• BlueHammer (CVE-2026-33825) — kelemahan keadaan perlumbaan Defender yang membolehkan peningkatan keistimewaan
• RedSun (CVE-2026-41091) — satu lagi kelemahan LPE dalam Defender
• UnDefend (CVE-2026-45498) — kelemahan ketiga yang berkaitan dengan Defender
• YellowKey, GreenPlasma dan MiniPlasma — kelemahan yang menjejaskan komponen termasuk BitLocker dan CTF

Menjelang akhir Mei, BlueHammer, RedSun dan UnDefend disahkan sedang dieksploitasi dalam serangan sebenar. Agensi Keselamatan Siber dan Infrastruktur Amerika Syarikat (CISA) kemudian menyenaraikannya dalam katalog Known Exploited Vulnerabilities .

Respons Microsoft yang berubah arah

Microsoft pada mulanya mengecam pendedahan tanpa penyelarasan itu sebagai “tidak bertanggungjawab” dan memberi amaran bahawa pelanggan terdedah kepada risiko besar sebelum tampalan atau langkah mitigasi tersedia .

Ketegangan memuncak pada penghujung Mei apabila Microsoft mengancam untuk merujuk perkara itu kepada pihak penguat kuasa bagi siasatan jenayah . Tindakan tersebut mencetuskan bantahan daripada komuniti keselamatan, yang berhujah bahawa cara Microsoft mengendalikan laporan asal—termasuk dakwaan mengabaikan laporan dan menarik balik akses akaun penyelidik—turut menyumbang kepada pendedahan terbuka itu .

Pada 2 Jun, Microsoft melembutkan pendiriannya secara terbuka dan menyatakan bahawa ia “tidak berniat mengambil tindakan terhadap individu yang menjalankan atau menerbitkan penyelidikan keselamatan” . Namun, pada ketika itu, pertikaian tersebut sudah menjadi perhatian umum dan RoguePlanet tetap diterbitkan seperti yang dijanjikan.

Apa maknanya untuk pentadbir Windows?

RoguePlanet menunjukkan bahawa memasang Patch Tuesday masih belum semestinya bermakna semua laluan serangan telah tertutup. Dalam kes ini, eksploit berfungsi melalui kelemahan baharu dalam proses pemulihan Defender, bukan melalui kerentanan yang baru sahaja ditampal.

Pentadbir sistem dan pasukan keselamatan perlu menganggap kemas kini Windows sebagai satu lapisan pertahanan, bukannya sempadan keselamatan mutlak. Sementara menunggu tampalan khusus, pemantauan aktiviti pelik, pengurangan akses pengguna setempat dan pengasingan sistem yang mencurigakan kekal penting.

Pada sudut yang lebih luas, RoguePlanet juga menonjolkan risiko apabila saluran pendedahan kerentanan antara penyelidik dan vendor gagal berfungsi. Pendedahan tanpa penyelarasan boleh mendedahkan pengguna kepada kod eksploit sebelum perlindungan tersedia, tetapi tindak balas vendor yang terlalu keras pula berisiko menghalang penyelidik daripada melaporkan kelemahan melalui saluran rasmi.