Hoe het werkt: Een TOCTOU-raceconditie in de antivirusengine zelf

Het probleem is een Time-of-Check to Time-of-Use (TOCTOU)-raceconditie die voortkomt uit een probleem met het onjuist oplossen van koppelingen (CWE-59) . De Microsoft Malware Protection Engine draait standaard als NT AUTHORITY\SYSTEM. De exploit laat de engine tegen zichzelf racen:

• Een laaggeprivilegieerde gebruiker maakt een speciaal vervaardigde symbolische koppeling of bestand aan dat de engine controleert (Time-of-Check) en vervangt deze vervolgens voordat de engine het gebruikt (Time-of-Use).
• Door deze race te winnen — met behulp van een oplock om de timing betrouwbaar te kunnen beïnvloeden — leidt de aanvaller de bestandsbewerking van de engine om naar een willekeurige locatie, zoals een map die de aanvaller beheert .
• De engine voert vervolgens een geprivilegieerde bestandsbewerking (bijv. schrijven of uitvoeren) uit op het door de aanvaller gekozen pad, wat effectief een opdrachtprompt oplevert die draait met SYSTEM-rechten .

De exploit is lokaal — de aanvaller moet al standaard gebruikertoegang tot de machine hebben — maar vereist geen extra privileges . Het werkt ook ongeacht of de realtime-bescherming van Defender is in- of uitgeschakeld .

CVSS-score en ernst

Microsoft kent een CVSS 3.1-basescore van 7,8 (HOOG) toe, met een lage aanvalscomplexiteit (stelling dat de oplock de race betrouwbaar maakt). De NVD vermeldt een basescore van 7,0 (HOOG) met een hoge aanvalscomplexiteit (erkent de moeilijkheid van de race). De temporele vector (E:F/RL:U/RC:C) resulteert in een temporele score van 7,6 volgens de beoordeling van Microsoft .

De kwetsbaarheid wordt beoordeeld als "Exploitation More Likely" op Microsoft's Exploitability Index .

Tijdlijn van openbaarmaking

De kloof tussen de openbare release van de exploit en de erkenning door Microsoft was cruciaal:

De kloof tussen de openbare release van de exploit (10 juni) en de erkenning door Microsoft (16 juni) was ongeveer 6 dagen. Begin juli 2026 is de exploit al ongeveer een maand openbaar zonder fix .

Wie ontdekte het: De Nightmare Eclipse-campagne

De kwetsbaarheid werd ontdekt en openbaar gemaakt door een beveiligingsonderzoeker die opereert onder de aliassen Nightmare Eclipse (ook bekend als Chaotic Eclipse) .

Dit is de zevende exploit in de aanhoudende campagne van de onderzoeker gericht op Microsoft Defender. Eerder onthulde Defender-kwetsbaarheden betroffen eerdere privilege-escalatie- en bypass-kwetsbaarheden zoals BlueHammer, RedSun, UnDefend, YellowKey en GreenPlasma . TechRadar karakteriseert RoguePlanet als onderdeel van "een aanhoudende onderzoekscampagne tegen het Defender-aanvalsoppervlak" . Gevalideerde PoC-reproducties door derden zoals ThreatLocker bevestigen de betrouwbaarheid van de exploitketen .

Kritiek van de community op de patchvertraging

De langdurige patchkloof trok scherpe kritiek uit de beveiligingsgemeenschap:

• Red Hound omschreef de situatie botweg: "Een werkende exploit voor de antivirus die in elk exemplaar van Windows zit, is al meer dan twee weken openbaar, en er is nog steeds geen patch" .
• Cloud Security Alliance merkte op dat er met ingang van 19 juni — negen dagen na de openbaarmaking — geen patch of tijdlijn voor een out-of-band-release was aangekondigd, en noemde het venster "alarmerend" voor een kwetsbaarheid die op elke consumenten- en zakelijke Windows-systeem aanwezig is .
• cve.tools meldde dat er op 1 juli 2026 (21 dagen na openbaarmaking) nog geen patch bestond, en dat de langdurige blootstelling "ongebruikelijk was voor een openbaar geëxploiteerde zero-day in een kernbeveiligingscomponent" .
• Meerdere bronnen wezen op de ironie dat Microsoft's eigen antivirusengine — de laatste verdedigingslinie — werd gebruikt als vector voor SYSTEM-niveau compromittering, en dat het gebrek aan urgentie van Microsoft vragen opriep over de reactieprocessen op kwetsbaarheden .

De kernfrustratie: omdat Defender standaard is ingeschakeld op alle Windows-installaties, heeft de kwetsbaarheid een enorm aanvalsoppervlak, maar werd er geen tussentijdse patch (out-of-band) uitgebracht, ondanks dat er functionele exploitcode openbaar beschikbaar was .

Tijdelijke mitigerende maatregelen en stappen die organisaties moeten nemen

Bronnen bevelen consistent het volgende aan totdat Microsoft een permanente fix uitbrengt:

Pas de fix toe zodra deze beschikbaar is

• Werk de Microsoft Malware Protection Engine (MsMpEng) bij zodra Microsoft een beveiligingsupdate uitbrengt. Dit wordt meestal geleverd via Windows Update of de Microsoft Update-catalogus .
• Er was per 10 juli 2026 geen fix beschikbaar — houd de CVE-advisering en het Microsoft Security Response Center (MSRC) in de gaten voor een out-of-band-release .

Tijdelijke mitigerende maatregelen (geen patch beschikbaar)

• Beperk lokale gebruikersaccounts. Omdat de exploit interactieve aanmelding vereist, minimaliseer het aantal standaardgebruikers op gevoelige systemen .
• Handhaaf AppLocker of WDAC (Windows Defender Application Control) om ongeautoriseerde uitvoerbare bestanden en scripts te blokkeren, inclusief niet-vertrouwde PoC-binaries .
• Schakel ASR-regels (Attack Surface Reduction) in die credential-diefstal en niet-vertrouwde processen kunnen blokkeren — hoewel deze de TOCTOU-race mogelijk niet direct stoppen .
• Monitor op bekende exploit-artefacten. De exploit is afhankelijk van specifieke oplock- en symbolische koppelingscreatie. Implementeer EDR-regels die waarschuwen voor afwijkend oplock-gebruik en onverwachte symlink-creatie door niet-SYSTEM-processen .
• Prioriteer het beperken van fysieke/logische toegang tot Windows endpoints voor niet-vertrouwde of onveilig bevonden gebruikers. Dit is de meest betrouwbare tussentijdse controle, omdat de kwetsbaarheid lokale code-uitvoering vereist .
• Gebruik het minste-privilege-model — verleen geen lokale admin-rechten aan standaardgebruikers, maar merk op dat dit de exploit niet voorkomt (het escaleert van standaardgebruiker naar SYSTEM) .

Hoe het werkt: Een TOCTOU-raceconditie in de antivirusengine zelf

Het probleem is een Time-of-Check to Time-of-Use (TOCTOU)-raceconditie die voortkomt uit een probleem met het onjuist oplossen van koppelingen (CWE-59) . De Microsoft Malware Protection Engine draait standaard als NT AUTHORITY\SYSTEM. De exploit laat de engine tegen zichzelf racen:

• Een laaggeprivilegieerde gebruiker maakt een speciaal vervaardigde symbolische koppeling of bestand aan dat de engine controleert (Time-of-Check) en vervangt deze vervolgens voordat de engine het gebruikt (Time-of-Use).
• Door deze race te winnen — met behulp van een oplock om de timing betrouwbaar te kunnen beïnvloeden — leidt de aanvaller de bestandsbewerking van de engine om naar een willekeurige locatie, zoals een map die de aanvaller beheert .
• De engine voert vervolgens een geprivilegieerde bestandsbewerking (bijv. schrijven of uitvoeren) uit op het door de aanvaller gekozen pad, wat effectief een opdrachtprompt oplevert die draait met SYSTEM-rechten .

De exploit is lokaal — de aanvaller moet al standaard gebruikertoegang tot de machine hebben — maar vereist geen extra privileges . Het werkt ook ongeacht of de realtime-bescherming van Defender is in- of uitgeschakeld .

CVSS-score en ernst

Microsoft kent een CVSS 3.1-basescore van 7,8 (HOOG) toe, met een lage aanvalscomplexiteit (stelling dat de oplock de race betrouwbaar maakt). De NVD vermeldt een basescore van 7,0 (HOOG) met een hoge aanvalscomplexiteit (erkent de moeilijkheid van de race). De temporele vector (E:F/RL:U/RC:C) resulteert in een temporele score van 7,6 volgens de beoordeling van Microsoft .

De kwetsbaarheid wordt beoordeeld als "Exploitation More Likely" op Microsoft's Exploitability Index .

Tijdlijn van openbaarmaking

De kloof tussen de openbare release van de exploit en de erkenning door Microsoft was cruciaal:

De kloof tussen de openbare release van de exploit (10 juni) en de erkenning door Microsoft (16 juni) was ongeveer 6 dagen. Begin juli 2026 is de exploit al ongeveer een maand openbaar zonder fix .

Wie ontdekte het: De Nightmare Eclipse-campagne

De kwetsbaarheid werd ontdekt en openbaar gemaakt door een beveiligingsonderzoeker die opereert onder de aliassen Nightmare Eclipse (ook bekend als Chaotic Eclipse) .

Dit is de zevende exploit in de aanhoudende campagne van de onderzoeker gericht op Microsoft Defender. Eerder onthulde Defender-kwetsbaarheden betroffen eerdere privilege-escalatie- en bypass-kwetsbaarheden zoals BlueHammer, RedSun, UnDefend, YellowKey en GreenPlasma . TechRadar karakteriseert RoguePlanet als onderdeel van "een aanhoudende onderzoekscampagne tegen het Defender-aanvalsoppervlak" . Gevalideerde PoC-reproducties door derden zoals ThreatLocker bevestigen de betrouwbaarheid van de exploitketen .

Kritiek van de community op de patchvertraging

De langdurige patchkloof trok scherpe kritiek uit de beveiligingsgemeenschap:

• Red Hound omschreef de situatie botweg: "Een werkende exploit voor de antivirus die in elk exemplaar van Windows zit, is al meer dan twee weken openbaar, en er is nog steeds geen patch" .
• Cloud Security Alliance merkte op dat er met ingang van 19 juni — negen dagen na de openbaarmaking — geen patch of tijdlijn voor een out-of-band-release was aangekondigd, en noemde het venster "alarmerend" voor een kwetsbaarheid die op elke consumenten- en zakelijke Windows-systeem aanwezig is .
• cve.tools meldde dat er op 1 juli 2026 (21 dagen na openbaarmaking) nog geen patch bestond, en dat de langdurige blootstelling "ongebruikelijk was voor een openbaar geëxploiteerde zero-day in een kernbeveiligingscomponent" .
• Meerdere bronnen wezen op de ironie dat Microsoft's eigen antivirusengine — de laatste verdedigingslinie — werd gebruikt als vector voor SYSTEM-niveau compromittering, en dat het gebrek aan urgentie van Microsoft vragen opriep over de reactieprocessen op kwetsbaarheden .

De kernfrustratie: omdat Defender standaard is ingeschakeld op alle Windows-installaties, heeft de kwetsbaarheid een enorm aanvalsoppervlak, maar werd er geen tussentijdse patch (out-of-band) uitgebracht, ondanks dat er functionele exploitcode openbaar beschikbaar was .

Tijdelijke mitigerende maatregelen en stappen die organisaties moeten nemen

Bronnen bevelen consistent het volgende aan totdat Microsoft een permanente fix uitbrengt:

Pas de fix toe zodra deze beschikbaar is

• Werk de Microsoft Malware Protection Engine (MsMpEng) bij zodra Microsoft een beveiligingsupdate uitbrengt. Dit wordt meestal geleverd via Windows Update of de Microsoft Update-catalogus .
• Er was per 10 juli 2026 geen fix beschikbaar — houd de CVE-advisering en het Microsoft Security Response Center (MSRC) in de gaten voor een out-of-band-release .

Tijdelijke mitigerende maatregelen (geen patch beschikbaar)

• Beperk lokale gebruikersaccounts. Omdat de exploit interactieve aanmelding vereist, minimaliseer het aantal standaardgebruikers op gevoelige systemen .
• Handhaaf AppLocker of WDAC (Windows Defender Application Control) om ongeautoriseerde uitvoerbare bestanden en scripts te blokkeren, inclusief niet-vertrouwde PoC-binaries .
• Schakel ASR-regels (Attack Surface Reduction) in die credential-diefstal en niet-vertrouwde processen kunnen blokkeren — hoewel deze de TOCTOU-race mogelijk niet direct stoppen .
• Monitor op bekende exploit-artefacten. De exploit is afhankelijk van specifieke oplock- en symbolische koppelingscreatie. Implementeer EDR-regels die waarschuwen voor afwijkend oplock-gebruik en onverwachte symlink-creatie door niet-SYSTEM-processen .
• Prioriteer het beperken van fysieke/logische toegang tot Windows endpoints voor niet-vertrouwde of onveilig bevonden gebruikers. Dit is de meest betrouwbare tussentijdse controle, omdat de kwetsbaarheid lokale code-uitvoering vereist .
• Gebruik het minste-privilege-model — verleen geen lokale admin-rechten aan standaardgebruikers, maar merk op dat dit de exploit niet voorkomt (het escaleert van standaardgebruiker naar SYSTEM) .