Zo kan RoguePlanet SYSTEM-rechten opleveren

RoguePlanet is een local privilege escalation-exploit, oftewel een kwetsbaarheid waarmee een aanvaller die al beperkte toegang tot een computer heeft, zijn rechten kan uitbreiden . De exploit richt zich op een race condition in de logica waarmee Microsoft Defender verdachte bestanden herstelt, in quarantaine plaatst of verwijdert .

Bij een bestand dat bijvoorbeeld op een externe SMB-server staat, controleert Defender eerst het bestandspad. Op het moment dat Defender daadwerkelijk naar dat pad schrijft, volgt echter geen tweede controle. Die korte periode tussen controle en uitvoering — een zogenoemde time-of-check-to-time-of-use-situatie (TOCTOU) — vormt het aangrijpingspunt .

Wie die timingrace weet te winnen, kan Defender ertoe brengen legitieme systeembestanden te overschrijven of willekeurige code uit te voeren. In het beschreven scenario kan vervolgens een opdrachtprompt met SYSTEM-rechten worden gestart: het hoogste machtigingsniveau op een Windows-systeem .

De exploit kent wel een belangrijke beperking. Nightmare Eclipse omschreef de werking als “a hit or miss”: op sommige machines zou de slagingskans 100 procent zijn, terwijl de aanval op andere systemen volledig mislukt . ThreatLocker, een beveiligingsbedrijf, zegt de kwetsbaarheid onafhankelijk te hebben gereproduceerd op systemen waarop alle juni-updates van 2026 waren geïnstalleerd .

De belangrijkste punten op een rij:

• Eerst lokale toegang nodig: een aanvaller moet al toegang hebben tot het systeem met een account met beperkte rechten .
• Ook na updates uitvoerbaar: volgens de beschikbare informatie blijft RoguePlanet werken op volledig bijgewerkte Windows 10- en Windows 11-systemen .
• Nog geen patch beschikbaar: ten tijde van de bekendmaking was er geen oplossing voor de nieuwe kwetsbaarheid .
• Onbetrouwbare timing: de race condition werkt niet op ieder apparaat even voorspelbaar .

De techniek doet denken aan eerdere onthullingen van Nightmare Eclipse, waaronder BlueHammer (CVE-2026-33825). Ook die kwetsbaarheid maakte misbruik van een TOCTOU-race in het herstelproces van Defender .

Bewust getimed na een recordupdate

De timing van RoguePlanet was moeilijk te missen. Microsofts Patch Tuesday van juni 2026 verholp 200 problemen, waaronder drie publiek bekende zero-days. Ook twee eerder onthulde Defender-kwetsbaarheden — BlueHammer en RedSun — kregen een oplossing .

Rapid7 merkte op dat drie publiek bekendgemaakte kwetsbaarheden in de update rechtstreeks verband hielden met de saga rond Nightmare Eclipse . De onderzoeker had op 28 mei al een “bone shattering”-publicatie voor Patch Tuesday aangekondigd . De vrijgave van RoguePlanet, kort nadat de updates waren verschenen, kwam daardoor over als een directe boodschap: een omvangrijke patchronde betekent niet automatisch dat alle nieuwe aanvalspaden zijn afgedekt .

Het maandenlange conflict met Microsoft

RoguePlanet is de zevende zero-day die Nightmare Eclipse sinds april 2026 publiek heeft gemaakt . De onderzoeker gebruikt ook de namen Chaotic Eclipse en MSNightmare. Volgens eigen zeggen werden eerdere meldingen via het officiële MSRC-portaal — het Microsoft Security Response Center — genegeerd, zonder uitleg gesloten of afgedaan met reacties die als kleinerend werden ervaren .

Nightmare Eclipse beweert bovendien dat Microsoft accounts op GitHub, GitLab en het MSRC-portaal heeft uitgeschakeld. Daardoor zouden officiële kanalen voor het melden van kwetsbaarheden zijn weggevallen . De onderzoeker zegt zich publiekelijk vernederd en zonder andere mogelijkheid te hebben gevoeld en begon daarop volledige zero-days, soms inclusief werkende proof-of-conceptcode, te publiceren .

De eerdere zero-days

Voor RoguePlanet waren zes kwetsbaarheden bekendgemaakt:

• BlueHammer (CVE-2026-33825): een race condition in Defender die lokale rechtenuitbreiding mogelijk maakt .
• RedSun (CVE-2026-41091): een andere kwetsbaarheid voor lokale privilege escalation in Defender .
• UnDefend (CVE-2026-45498): een derde probleem in Defender .
• YellowKey, GreenPlasma en MiniPlasma: kwetsbaarheden in onder meer BitLocker en CTF .

Tegen het einde van mei waren BlueHammer, RedSun en UnDefend volgens meldingen actief in aanvallen gebruikt. De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) nam ze op in zijn catalogus met bekende, actief uitgebuite kwetsbaarheden .

Microsoft veroordeelde de publicaties — en zwakte later af

Microsoft noemde de ongecoördineerde bekendmakingen “irresponsible” en waarschuwde dat klanten hierdoor al vóór beschikbare patches aan risico’s werden blootgesteld . Eind mei dreigde het bedrijf de zaak door te verwijzen voor strafrechtelijk onderzoek, wat tot stevige kritiek in de beveiligingswereld leidde .

Critici stelden dat Microsofts vermeende afhandeling van de oorspronkelijke meldingen — waaronder het negeren of sluiten van dossiers en het intrekken van accounts — juist aan de basis van de escalatie lag . Onder die druk wijzigde Microsoft op 2 juni zijn toon. Het bedrijf verklaarde publiekelijk dat het “no intention to pursue action against individuals conducting or publishing security research” had .

De publieke schade was toen al aangericht en de aangekondigde Patch Tuesday-publicatie kwam er alsnog. RoguePlanet laat volgens de beschikbare tests zien dat een volledig bijgewerkt systeem niet per definitie immuun is voor een nog onbekende kwetsbaarheid in een centraal beveiligingsonderdeel.

Voor beheerders is de praktische conclusie daarom ongemakkelijk maar duidelijk: updates blijven noodzakelijk, maar Patch Tuesday vormt op zichzelf geen volledige veiligheidsgrens zolang nieuwe, niet-opgeloste race conditions in beveiligingssoftware kunnen worden misbruikt.

Zo kan RoguePlanet SYSTEM-rechten opleveren

RoguePlanet is een local privilege escalation-exploit, oftewel een kwetsbaarheid waarmee een aanvaller die al beperkte toegang tot een computer heeft, zijn rechten kan uitbreiden . De exploit richt zich op een race condition in de logica waarmee Microsoft Defender verdachte bestanden herstelt, in quarantaine plaatst of verwijdert .

Bij een bestand dat bijvoorbeeld op een externe SMB-server staat, controleert Defender eerst het bestandspad. Op het moment dat Defender daadwerkelijk naar dat pad schrijft, volgt echter geen tweede controle. Die korte periode tussen controle en uitvoering — een zogenoemde time-of-check-to-time-of-use-situatie (TOCTOU) — vormt het aangrijpingspunt .

Wie die timingrace weet te winnen, kan Defender ertoe brengen legitieme systeembestanden te overschrijven of willekeurige code uit te voeren. In het beschreven scenario kan vervolgens een opdrachtprompt met SYSTEM-rechten worden gestart: het hoogste machtigingsniveau op een Windows-systeem .

De exploit kent wel een belangrijke beperking. Nightmare Eclipse omschreef de werking als “a hit or miss”: op sommige machines zou de slagingskans 100 procent zijn, terwijl de aanval op andere systemen volledig mislukt . ThreatLocker, een beveiligingsbedrijf, zegt de kwetsbaarheid onafhankelijk te hebben gereproduceerd op systemen waarop alle juni-updates van 2026 waren geïnstalleerd .

De belangrijkste punten op een rij:

• Eerst lokale toegang nodig: een aanvaller moet al toegang hebben tot het systeem met een account met beperkte rechten .
• Ook na updates uitvoerbaar: volgens de beschikbare informatie blijft RoguePlanet werken op volledig bijgewerkte Windows 10- en Windows 11-systemen .
• Nog geen patch beschikbaar: ten tijde van de bekendmaking was er geen oplossing voor de nieuwe kwetsbaarheid .
• Onbetrouwbare timing: de race condition werkt niet op ieder apparaat even voorspelbaar .

De techniek doet denken aan eerdere onthullingen van Nightmare Eclipse, waaronder BlueHammer (CVE-2026-33825). Ook die kwetsbaarheid maakte misbruik van een TOCTOU-race in het herstelproces van Defender .

Bewust getimed na een recordupdate

De timing van RoguePlanet was moeilijk te missen. Microsofts Patch Tuesday van juni 2026 verholp 200 problemen, waaronder drie publiek bekende zero-days. Ook twee eerder onthulde Defender-kwetsbaarheden — BlueHammer en RedSun — kregen een oplossing .

Rapid7 merkte op dat drie publiek bekendgemaakte kwetsbaarheden in de update rechtstreeks verband hielden met de saga rond Nightmare Eclipse . De onderzoeker had op 28 mei al een “bone shattering”-publicatie voor Patch Tuesday aangekondigd . De vrijgave van RoguePlanet, kort nadat de updates waren verschenen, kwam daardoor over als een directe boodschap: een omvangrijke patchronde betekent niet automatisch dat alle nieuwe aanvalspaden zijn afgedekt .

Het maandenlange conflict met Microsoft

RoguePlanet is de zevende zero-day die Nightmare Eclipse sinds april 2026 publiek heeft gemaakt . De onderzoeker gebruikt ook de namen Chaotic Eclipse en MSNightmare. Volgens eigen zeggen werden eerdere meldingen via het officiële MSRC-portaal — het Microsoft Security Response Center — genegeerd, zonder uitleg gesloten of afgedaan met reacties die als kleinerend werden ervaren .

Nightmare Eclipse beweert bovendien dat Microsoft accounts op GitHub, GitLab en het MSRC-portaal heeft uitgeschakeld. Daardoor zouden officiële kanalen voor het melden van kwetsbaarheden zijn weggevallen . De onderzoeker zegt zich publiekelijk vernederd en zonder andere mogelijkheid te hebben gevoeld en begon daarop volledige zero-days, soms inclusief werkende proof-of-conceptcode, te publiceren .

De eerdere zero-days

Voor RoguePlanet waren zes kwetsbaarheden bekendgemaakt:

• BlueHammer (CVE-2026-33825): een race condition in Defender die lokale rechtenuitbreiding mogelijk maakt .
• RedSun (CVE-2026-41091): een andere kwetsbaarheid voor lokale privilege escalation in Defender .
• UnDefend (CVE-2026-45498): een derde probleem in Defender .
• YellowKey, GreenPlasma en MiniPlasma: kwetsbaarheden in onder meer BitLocker en CTF .

Tegen het einde van mei waren BlueHammer, RedSun en UnDefend volgens meldingen actief in aanvallen gebruikt. De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) nam ze op in zijn catalogus met bekende, actief uitgebuite kwetsbaarheden .

Microsoft veroordeelde de publicaties — en zwakte later af

Microsoft noemde de ongecoördineerde bekendmakingen “irresponsible” en waarschuwde dat klanten hierdoor al vóór beschikbare patches aan risico’s werden blootgesteld . Eind mei dreigde het bedrijf de zaak door te verwijzen voor strafrechtelijk onderzoek, wat tot stevige kritiek in de beveiligingswereld leidde .

Critici stelden dat Microsofts vermeende afhandeling van de oorspronkelijke meldingen — waaronder het negeren of sluiten van dossiers en het intrekken van accounts — juist aan de basis van de escalatie lag . Onder die druk wijzigde Microsoft op 2 juni zijn toon. Het bedrijf verklaarde publiekelijk dat het “no intention to pursue action against individuals conducting or publishing security research” had .

De publieke schade was toen al aangericht en de aangekondigde Patch Tuesday-publicatie kwam er alsnog. RoguePlanet laat volgens de beschikbare tests zien dat een volledig bijgewerkt systeem niet per definitie immuun is voor een nog onbekende kwetsbaarheid in een centraal beveiligingsonderdeel.

Voor beheerders is de praktische conclusie daarom ongemakkelijk maar duidelijk: updates blijven noodzakelijk, maar Patch Tuesday vormt op zichzelf geen volledige veiligheidsgrens zolang nieuwe, niet-opgeloste race conditions in beveiligingssoftware kunnen worden misbruikt.