Dette er ikke et fjernangrep som kan utføres direkte over internett. Angriperen må allerede ha vanlig brukertilgang og kunne kjøre kode lokalt på maskinen. Det kreves imidlertid ingen ytterligere privilegier, og vellykket utnyttelse kan gi tilgangsnivået NT AUTHORITY\SYSTEM – den høyeste privilegiekonteksten i Windows .

Slik fungerer kappløpssituasjonen i Defender

Sårbarheten skyldes en såkalt TOCTOU-kappløpssituasjon – «Time of Check to Time of Use». Problemet oppstår fordi systemet først kontrollerer en fil eller filbane, men bruker informasjonen litt senere. I tidsrommet mellom kontrollen og bruken kan innholdet eller målet endres. Feilen er knyttet til feilaktig håndtering av lenker, klassifisert som CWE-59 .

Forenklet ser angrepet slik ut:

• En bruker med lave privilegier oppretter en spesiallaget symbolsk lenke eller fil som Defender-motoren undersøker.
• Før motoren bruker resultatet av kontrollen, bytter angriperen lenken eller filen til et annet mål.
• Ved hjelp av en oplock – en Windows-mekanisme som kan brukes til å påvirke når filtilgang skjer – kan angriperen gjøre kappløpet mer pålitelig og styre operasjonen mot en ønsket plassering .
• Fordi Malware Protection Engine kjører som NT AUTHORITY\SYSTEM, kan motoren deretter utføre en privilegert filoperasjon på angriperens vegne. Resultatet kan bli et kommandoskall med SYSTEM-rettigheter .

Ifølge tilgjengelige analyser fungerer utnyttelsen både når Defenders sanntidsbeskyttelse er slått på og når den er slått av . Det betyr at det ikke er tilstrekkelig å deaktivere sanntidsbeskyttelsen som midlertidig tiltak.

Alvorlighetsgrad og CVSS-score

Microsoft har satt en CVSS 3.1-grunnscore på 7,8, klassifisert som HØY. Microsoft vurderer angrepskompleksiteten som lav, blant annet fordi bruk av oplocks kan gjøre kappløpet mer pålitelig. NVD har på sin side oppført en grunnscore på 7,0, også med alvorlighetsgrad HØY, men vurderer angrepskompleksiteten som høyere .

Microsofts tidsavhengige vurdering gir en score på 7,6, med funksjonell exploit-kode tilgjengelig, men uten en tilgjengelig rettelse på vurderingstidspunktet . Sårbarheten er dessuten merket «Exploitation More Likely» i Microsofts Exploitability Index .

Tidslinje: Fra offentlig exploit til Microsofts bekreftelse

Det gikk dermed rundt seks dager fra den offentlige publiseringen 10. juni til Microsofts formelle bekreftelse 16. juni. Tidlig i juli hadde exploit-koden vært offentlig tilgjengelig i omtrent én måned uten at en rettelse var lansert .

Hvem står bak?

Sårbarheten ble oppdaget og offentliggjort av en sikkerhetsforsker som bruker aliasene Nightmare Eclipse og Chaotic Eclipse .

RoguePlanet beskrives som det sjuende exploitet i forskerens pågående kampanje mot Microsoft Defender. Tidligere offentliggjorte Defender-feil har blant annet hatt navnene BlueHammer, RedSun, UnDefend, YellowKey og GreenPlasma . TechRadar omtaler serien som en vedvarende forskningskampanje mot Defenders angrepsflate .

Tredjepartsgrupper, blant annet ThreatLocker, skal ha gjenskapt og validert proof-of-concept-koden, noe som støtter vurderingen av at exploit-kjeden er praktisk gjennomførbar . Det er likevel viktig å skille mellom at fungerende exploit-kode er offentlig og at det foreligger bekreftede angrep i praksis.

Derfor har oppdateringsforsinkelsen skapt reaksjoner

Sikkerhetsmiljøet har reagert kraftig på at en fungerende exploit for en komponent som følger med alle Windows-installasjoner, har vært offentlig tilgjengelig uten en hurtigoppdatering.

• Red Hound skrev at en fungerende exploit for antivirusprogrammet som leveres med alle Windows-kopier, hadde vært offentlig i mer enn to uker uten at en oppdatering var tilgjengelig .
• Cloud Security Alliance omtalte situasjonen som «alarming» da det 19. juni – ni dager etter offentliggjøringen – fortsatt ikke var kunngjort noen oppdatering eller tidsplan for en oppdatering utenom den ordinære lanseringssyklusen .
• cve.tools skrev 1. juli at det fortsatt ikke fantes noen rettelse, og at en så lang eksponering var uvanlig for en offentlig kjent nulldagssårbarhet i en sentral sikkerhetskomponent .
• Flere analyser trakk frem ironien i at Microsofts egen antivirusmotor – en del av det som skal beskytte systemet – samtidig kunne bli veien til SYSTEM-kompromittering .

Bekymringen handler først og fremst om rekkevidden: Defender er aktivert som standard på Windows-systemer, mens angrepet bare krever lokal kodekjøring av en bruker med lave privilegier. Samtidig var det ikke utstedt noen midlertidig hurtigoppdatering selv etter at funksjonell exploit-kode var blitt offentlig .

Hva bør virksomheter gjøre nå?

Installer oppdateringen så snart den kommer

Microsoft har sagt at selskapet arbeider med en sikkerhetsoppdatering. Når den blir lansert, bør den distribueres raskt gjennom Windows Update eller Microsoft Update Catalog . Følg CVE-meldingen og Microsoft Security Response Center (MSRC) for informasjon om en eventuell oppdatering utenom den ordinære oppdateringssyklusen .

Per 10. juli 2026 var det fortsatt ikke tilgjengelig noen rettelse.

Begrens lokal tilgang

Siden angrepet krever interaktiv lokal tilgang, bør virksomheter redusere antallet brukere som kan logge på sensitive Windows-maskiner. Fysisk og logisk tilgang bør begrenses for brukere som ikke er godkjent eller kontrollert .

Håndhev applikasjonskontroll

Bruk AppLocker eller WDAC (Windows Defender Application Control) for å hindre at uautoriserte programmer og skript kjører. Dette kan også begrense kjøring av uklarerte proof-of-concept-filer .

ASR-regler (Attack Surface Reduction) kan i tillegg bidra til å blokkere uautoriserte prosesser og enkelte former for legitimasjonstyveri. De er imidlertid ikke nødvendigvis laget for å stoppe selve TOCTOU-kappløpssituasjonen .

Overvåk mistenkelig filaktivitet

Exploit-kjeden benytter blant annet oplocks og opprettelse av symbolske lenker. EDR-løsninger bør derfor konfigureres til å varsle om uvanlig bruk av oplocks og uventet opprettelse av symbolske lenker fra prosesser som ikke kjører som SYSTEM .

Følg prinsippet om minste privilegium

Ikke gi vanlige brukere lokale administratorrettigheter. Det reduserer den generelle risikoen, men er ikke en fullstendig beskyttelse mot RoguePlanet: sårbarheten er nettopp utformet for å løfte en vanlig bruker til SYSTEM-nivå .

Den mest robuste midlertidige kontrollen er derfor å begrense hvem som kan få lokal tilgang og kjøre kode på Windows-endepunkter, samtidig som organisasjonen følger MSRC-meldingen tett og er klar til å distribuere den permanente rettelsen straks den foreligger.

Dette er ikke et fjernangrep som kan utføres direkte over internett. Angriperen må allerede ha vanlig brukertilgang og kunne kjøre kode lokalt på maskinen. Det kreves imidlertid ingen ytterligere privilegier, og vellykket utnyttelse kan gi tilgangsnivået NT AUTHORITY\SYSTEM – den høyeste privilegiekonteksten i Windows .

Slik fungerer kappløpssituasjonen i Defender

Sårbarheten skyldes en såkalt TOCTOU-kappløpssituasjon – «Time of Check to Time of Use». Problemet oppstår fordi systemet først kontrollerer en fil eller filbane, men bruker informasjonen litt senere. I tidsrommet mellom kontrollen og bruken kan innholdet eller målet endres. Feilen er knyttet til feilaktig håndtering av lenker, klassifisert som CWE-59 .

Forenklet ser angrepet slik ut:

• En bruker med lave privilegier oppretter en spesiallaget symbolsk lenke eller fil som Defender-motoren undersøker.
• Før motoren bruker resultatet av kontrollen, bytter angriperen lenken eller filen til et annet mål.
• Ved hjelp av en oplock – en Windows-mekanisme som kan brukes til å påvirke når filtilgang skjer – kan angriperen gjøre kappløpet mer pålitelig og styre operasjonen mot en ønsket plassering .
• Fordi Malware Protection Engine kjører som NT AUTHORITY\SYSTEM, kan motoren deretter utføre en privilegert filoperasjon på angriperens vegne. Resultatet kan bli et kommandoskall med SYSTEM-rettigheter .

Ifølge tilgjengelige analyser fungerer utnyttelsen både når Defenders sanntidsbeskyttelse er slått på og når den er slått av . Det betyr at det ikke er tilstrekkelig å deaktivere sanntidsbeskyttelsen som midlertidig tiltak.

Alvorlighetsgrad og CVSS-score

Microsoft har satt en CVSS 3.1-grunnscore på 7,8, klassifisert som HØY. Microsoft vurderer angrepskompleksiteten som lav, blant annet fordi bruk av oplocks kan gjøre kappløpet mer pålitelig. NVD har på sin side oppført en grunnscore på 7,0, også med alvorlighetsgrad HØY, men vurderer angrepskompleksiteten som høyere .

Microsofts tidsavhengige vurdering gir en score på 7,6, med funksjonell exploit-kode tilgjengelig, men uten en tilgjengelig rettelse på vurderingstidspunktet . Sårbarheten er dessuten merket «Exploitation More Likely» i Microsofts Exploitability Index .

Tidslinje: Fra offentlig exploit til Microsofts bekreftelse

Det gikk dermed rundt seks dager fra den offentlige publiseringen 10. juni til Microsofts formelle bekreftelse 16. juni. Tidlig i juli hadde exploit-koden vært offentlig tilgjengelig i omtrent én måned uten at en rettelse var lansert .

Hvem står bak?

Sårbarheten ble oppdaget og offentliggjort av en sikkerhetsforsker som bruker aliasene Nightmare Eclipse og Chaotic Eclipse .

RoguePlanet beskrives som det sjuende exploitet i forskerens pågående kampanje mot Microsoft Defender. Tidligere offentliggjorte Defender-feil har blant annet hatt navnene BlueHammer, RedSun, UnDefend, YellowKey og GreenPlasma . TechRadar omtaler serien som en vedvarende forskningskampanje mot Defenders angrepsflate .

Tredjepartsgrupper, blant annet ThreatLocker, skal ha gjenskapt og validert proof-of-concept-koden, noe som støtter vurderingen av at exploit-kjeden er praktisk gjennomførbar . Det er likevel viktig å skille mellom at fungerende exploit-kode er offentlig og at det foreligger bekreftede angrep i praksis.

Derfor har oppdateringsforsinkelsen skapt reaksjoner

Sikkerhetsmiljøet har reagert kraftig på at en fungerende exploit for en komponent som følger med alle Windows-installasjoner, har vært offentlig tilgjengelig uten en hurtigoppdatering.

• Red Hound skrev at en fungerende exploit for antivirusprogrammet som leveres med alle Windows-kopier, hadde vært offentlig i mer enn to uker uten at en oppdatering var tilgjengelig .
• Cloud Security Alliance omtalte situasjonen som «alarming» da det 19. juni – ni dager etter offentliggjøringen – fortsatt ikke var kunngjort noen oppdatering eller tidsplan for en oppdatering utenom den ordinære lanseringssyklusen .
• cve.tools skrev 1. juli at det fortsatt ikke fantes noen rettelse, og at en så lang eksponering var uvanlig for en offentlig kjent nulldagssårbarhet i en sentral sikkerhetskomponent .
• Flere analyser trakk frem ironien i at Microsofts egen antivirusmotor – en del av det som skal beskytte systemet – samtidig kunne bli veien til SYSTEM-kompromittering .

Bekymringen handler først og fremst om rekkevidden: Defender er aktivert som standard på Windows-systemer, mens angrepet bare krever lokal kodekjøring av en bruker med lave privilegier. Samtidig var det ikke utstedt noen midlertidig hurtigoppdatering selv etter at funksjonell exploit-kode var blitt offentlig .

Hva bør virksomheter gjøre nå?

Installer oppdateringen så snart den kommer

Microsoft har sagt at selskapet arbeider med en sikkerhetsoppdatering. Når den blir lansert, bør den distribueres raskt gjennom Windows Update eller Microsoft Update Catalog . Følg CVE-meldingen og Microsoft Security Response Center (MSRC) for informasjon om en eventuell oppdatering utenom den ordinære oppdateringssyklusen .

Per 10. juli 2026 var det fortsatt ikke tilgjengelig noen rettelse.

Begrens lokal tilgang

Siden angrepet krever interaktiv lokal tilgang, bør virksomheter redusere antallet brukere som kan logge på sensitive Windows-maskiner. Fysisk og logisk tilgang bør begrenses for brukere som ikke er godkjent eller kontrollert .

Håndhev applikasjonskontroll

Bruk AppLocker eller WDAC (Windows Defender Application Control) for å hindre at uautoriserte programmer og skript kjører. Dette kan også begrense kjøring av uklarerte proof-of-concept-filer .

ASR-regler (Attack Surface Reduction) kan i tillegg bidra til å blokkere uautoriserte prosesser og enkelte former for legitimasjonstyveri. De er imidlertid ikke nødvendigvis laget for å stoppe selve TOCTOU-kappløpssituasjonen .

Overvåk mistenkelig filaktivitet

Exploit-kjeden benytter blant annet oplocks og opprettelse av symbolske lenker. EDR-løsninger bør derfor konfigureres til å varsle om uvanlig bruk av oplocks og uventet opprettelse av symbolske lenker fra prosesser som ikke kjører som SYSTEM .

Følg prinsippet om minste privilegium

Ikke gi vanlige brukere lokale administratorrettigheter. Det reduserer den generelle risikoen, men er ikke en fullstendig beskyttelse mot RoguePlanet: sårbarheten er nettopp utformet for å løfte en vanlig bruker til SYSTEM-nivå .

Den mest robuste midlertidige kontrollen er derfor å begrense hvem som kan få lokal tilgang og kjøre kode på Windows-endepunkter, samtidig som organisasjonen følger MSRC-meldingen tett og er klar til å distribuere den permanente rettelsen straks den foreligger.