Publiseringen var dermed mer enn en teknisk demonstrasjon. Den ble også et nytt kapittel i den offentlige konflikten mellom forskeren og Microsoft om hvordan alvorlige sikkerhetshull skal rapporteres og håndteres.

Slik kan RoguePlanet gi SYSTEM-tilgang

RoguePlanet er en såkalt lokal privilegieeskalering, eller LPE. Det betyr at en angriper først må ha en form for begrenset tilgang til maskinen. Derfra kan sårbarheten i beste fall brukes til å løfte rettighetene helt opp til Windows-nivået SYSTEM, som gir svært omfattende kontroll over datamaskinen .

Angrepet retter seg mot en kappløpssituasjon i Microsoft Defenders logikk for håndtering av filer. Når Defender oppdager en fil den mener er skadelig – særlig en fil som ligger på en ekstern SMB-server – kontrollerer programmet filbanen før det for eksempel setter filen i karantene eller sletter den .

Problemet oppstår fordi filbanen ikke kontrolleres på nytt idet skriveoperasjonen faktisk gjennomføres. Det skaper et kort tidsvindu der en angriper kan forsøke å endre målet for operasjonen .

Lykkes kappløpet, kan Defender i teorien få beskjed om å overskrive legitime systemfiler eller kjøre kode med sine egne høye rettigheter. Resultatet kan bli et kommandovindu med SYSTEM-tilgang .

Det er imidlertid en viktig begrensning: Utnyttelsen er ikke stabil. Nightmare Eclipse har selv beskrevet den som «hit or miss» og sagt at den fungerte hver gang på enkelte maskiner, men ikke i det hele tatt på andre . Sikkerhetsselskapet ThreatLocker har likevel opplyst at de klarte å gjenskape angrepet på systemer med alle oppdateringene fra juni installert .

De viktigste punktene er:

• Angriperen må ha innledende tilgang: RoguePlanet er ikke i seg selv en fjerninngangsport. Det kreves allerede en lavprivilegert konto eller annen lokal tilgang .
• Feilen er uavhengig bekreftet: ThreatLocker har reprodusert utnyttelsen på oppdaterte systemer .
• Det finnes ingen oppdatering mot RoguePlanet ved publisering: Sårbarheten skal ha påvirket fullt oppdaterte Windows 10- og Windows 11-systemer .

Teknikken minner om tidligere avsløringer fra samme forsker, blant annet BlueHammer (CVE-2026-33825), som også utnyttet en såkalt TOCTOU-kappløpssituasjon – «time of check to time of use» – i Defenders prosess for skadevarehåndtering .

Publisert for å overskygge Patch Tuesday

Microsofts junioppdatering var selskapets største Patch Tuesday-pakke til da, med 200 sårbarheter inkludert tre offentlig kjente zero-days . Blant feilene som ble rettet, var Defender-sårbarhetene BlueHammer og RedSun, som Nightmare Eclipse hadde publisert tidligere .

Rapid7 skrev at tre av de offentlig kjente sårbarhetene i oppdateringspakken var direkte knyttet til historien rundt Nightmare Eclipse . Forskeren hadde dessuten varslet på forhånd at en ny, svært omfattende zero-day skulle slippes på Patch Tuesday. I et innlegg 28. mai ble det lovet en «bone shattering»-avsløring .

Da RoguePlanet kom bare timer etter at oppdateringene ble tilgjengelige, fremsto timingen som et bevisst forsøk på å vise at en stor oppdateringspakke ikke nødvendigvis betyr at alle sikkerhetshull er borte .

En konflikt som har eskalert i månedsvis

RoguePlanet er den sjuende zero-day-sårbarheten Nightmare Eclipse har gjort offentlig siden april 2026 . Forskeren bruker også navnene Chaotic Eclipse og MSNightmare, men identiteten er ikke offentlig bekreftet.

Forskeren hevder at Microsoft stengte rapporteringskanalene

Nightmare Eclipse hevder å ha sendt inn flere sårbarhetsrapporter gjennom Microsofts offisielle MSRC-portal, Microsoft Security Response Center. Ifølge forskeren ble rapportene ignorert, lukket uten forklaring eller møtt med avvisende svar .

Forskeren hevder også at Microsoft stengte kontoer knyttet til GitHub, GitLab og MSRC-portalen. Det skal ha gjort de offisielle kanalene for feilrapportering utilgjengelige . Etter det forskeren omtaler som offentlig ydmykelse og manglende mulighet til å få gehør, begynte vedkommende å publisere komplette zero-day-utnyttelser, noen med fungerende proof-of-concept-kode .

Seks tidligere sårbarheter

Før RoguePlanet var disse seks sårbarhetene gjort offentlige:

• BlueHammer (CVE-2026-33825): En kappløpssituasjon i Defender som kan gi lokal privilegieeskalering
• RedSun (CVE-2026-41091): En annen LPE-sårbarhet i Defender
• UnDefend (CVE-2026-45498): Ytterligere en sårbarhet i Defender
• YellowKey, GreenPlasma og MiniPlasma: Feil i blant annet BitLocker og CTF

Mot slutten av mai ble BlueHammer, RedSun og UnDefend knyttet til aktive angrep. De ble også ført opp i USAs katalog over kjente, aktivt utnyttede sårbarheter, CISA Known Exploited Vulnerabilities .

Microsoft fordømte avsløringene – og tonet senere ned tonen

Microsoft reagerte først kraftig. Selskapet kalte de ukoordinerte avsløringene «uansvarlige» og advarte om at kundene ble utsatt for betydelig risiko før oppdateringer eller beskyttelsestiltak var klare .

Mot slutten av mai ble konflikten ytterligere trappet opp da Microsoft truet med å sende saken videre til politiet for en mulig strafferettslig etterforskning . Det utløste sterk kritikk fra deler av sikkerhetsmiljøet. Kritikerne mente Microsofts egen håndtering av de første rapportene – og stengingen av forskerens kontoer – hadde bidratt til at sårbarhetene ble publisert offentlig .

Etter presset endret Microsoft tonen. 2. juni uttalte selskapet offentlig at det «ikke har til hensikt å gå til sak mot personer som driver med eller publiserer sikkerhetsforskning» . Uttalelsen var langt mildere enn de tidligere advarslene, men konflikten var allerede blitt offentlig.

Hva RoguePlanet betyr for sikkerheten

RoguePlanet viser hvorfor en installert oppdatering ikke alltid er det samme som full beskyttelse. Patch Tuesday lukket et stort antall kjente feil, men kunne ikke stanse en ny sårbarhet som ennå ikke var rapportert eller rettet.

For virksomheter og IT-ansvarlige er hovedpoenget derfor ikke at alle oppdaterte Windows-maskiner nødvendigvis er kompromittert. RoguePlanet krever innledende tilgang og skal være ustabil i praksis. Poenget er at Defender selv kan bli en del av angrepskjeden dersom en angriper allerede har fotfeste på maskinen.

Inntil Microsoft eventuelt kommer med en løsning, bør sikkerhetsteam følge med på nye varsler om RoguePlanet, begrense unødvendig lokal tilgang og bruke overvåking av mistenkelig privilegieeskalering. Saken illustrerer samtidig den mer grunnleggende konflikten i moderne sikkerhetsarbeid: Når rapporteringskanalene bryter sammen, kan konsekvensen bli at tekniske detaljer og fungerende angrepskode publiseres før kundene har fått et vern.

Publiseringen var dermed mer enn en teknisk demonstrasjon. Den ble også et nytt kapittel i den offentlige konflikten mellom forskeren og Microsoft om hvordan alvorlige sikkerhetshull skal rapporteres og håndteres.

Slik kan RoguePlanet gi SYSTEM-tilgang

RoguePlanet er en såkalt lokal privilegieeskalering, eller LPE. Det betyr at en angriper først må ha en form for begrenset tilgang til maskinen. Derfra kan sårbarheten i beste fall brukes til å løfte rettighetene helt opp til Windows-nivået SYSTEM, som gir svært omfattende kontroll over datamaskinen .

Angrepet retter seg mot en kappløpssituasjon i Microsoft Defenders logikk for håndtering av filer. Når Defender oppdager en fil den mener er skadelig – særlig en fil som ligger på en ekstern SMB-server – kontrollerer programmet filbanen før det for eksempel setter filen i karantene eller sletter den .

Problemet oppstår fordi filbanen ikke kontrolleres på nytt idet skriveoperasjonen faktisk gjennomføres. Det skaper et kort tidsvindu der en angriper kan forsøke å endre målet for operasjonen .

Lykkes kappløpet, kan Defender i teorien få beskjed om å overskrive legitime systemfiler eller kjøre kode med sine egne høye rettigheter. Resultatet kan bli et kommandovindu med SYSTEM-tilgang .

Det er imidlertid en viktig begrensning: Utnyttelsen er ikke stabil. Nightmare Eclipse har selv beskrevet den som «hit or miss» og sagt at den fungerte hver gang på enkelte maskiner, men ikke i det hele tatt på andre . Sikkerhetsselskapet ThreatLocker har likevel opplyst at de klarte å gjenskape angrepet på systemer med alle oppdateringene fra juni installert .

De viktigste punktene er:

• Angriperen må ha innledende tilgang: RoguePlanet er ikke i seg selv en fjerninngangsport. Det kreves allerede en lavprivilegert konto eller annen lokal tilgang .
• Feilen er uavhengig bekreftet: ThreatLocker har reprodusert utnyttelsen på oppdaterte systemer .
• Det finnes ingen oppdatering mot RoguePlanet ved publisering: Sårbarheten skal ha påvirket fullt oppdaterte Windows 10- og Windows 11-systemer .

Teknikken minner om tidligere avsløringer fra samme forsker, blant annet BlueHammer (CVE-2026-33825), som også utnyttet en såkalt TOCTOU-kappløpssituasjon – «time of check to time of use» – i Defenders prosess for skadevarehåndtering .

Publisert for å overskygge Patch Tuesday

Microsofts junioppdatering var selskapets største Patch Tuesday-pakke til da, med 200 sårbarheter inkludert tre offentlig kjente zero-days . Blant feilene som ble rettet, var Defender-sårbarhetene BlueHammer og RedSun, som Nightmare Eclipse hadde publisert tidligere .

Rapid7 skrev at tre av de offentlig kjente sårbarhetene i oppdateringspakken var direkte knyttet til historien rundt Nightmare Eclipse . Forskeren hadde dessuten varslet på forhånd at en ny, svært omfattende zero-day skulle slippes på Patch Tuesday. I et innlegg 28. mai ble det lovet en «bone shattering»-avsløring .

Da RoguePlanet kom bare timer etter at oppdateringene ble tilgjengelige, fremsto timingen som et bevisst forsøk på å vise at en stor oppdateringspakke ikke nødvendigvis betyr at alle sikkerhetshull er borte .

En konflikt som har eskalert i månedsvis

RoguePlanet er den sjuende zero-day-sårbarheten Nightmare Eclipse har gjort offentlig siden april 2026 . Forskeren bruker også navnene Chaotic Eclipse og MSNightmare, men identiteten er ikke offentlig bekreftet.

Forskeren hevder at Microsoft stengte rapporteringskanalene

Nightmare Eclipse hevder å ha sendt inn flere sårbarhetsrapporter gjennom Microsofts offisielle MSRC-portal, Microsoft Security Response Center. Ifølge forskeren ble rapportene ignorert, lukket uten forklaring eller møtt med avvisende svar .

Forskeren hevder også at Microsoft stengte kontoer knyttet til GitHub, GitLab og MSRC-portalen. Det skal ha gjort de offisielle kanalene for feilrapportering utilgjengelige . Etter det forskeren omtaler som offentlig ydmykelse og manglende mulighet til å få gehør, begynte vedkommende å publisere komplette zero-day-utnyttelser, noen med fungerende proof-of-concept-kode .

Seks tidligere sårbarheter

Før RoguePlanet var disse seks sårbarhetene gjort offentlige:

• BlueHammer (CVE-2026-33825): En kappløpssituasjon i Defender som kan gi lokal privilegieeskalering
• RedSun (CVE-2026-41091): En annen LPE-sårbarhet i Defender
• UnDefend (CVE-2026-45498): Ytterligere en sårbarhet i Defender
• YellowKey, GreenPlasma og MiniPlasma: Feil i blant annet BitLocker og CTF

Mot slutten av mai ble BlueHammer, RedSun og UnDefend knyttet til aktive angrep. De ble også ført opp i USAs katalog over kjente, aktivt utnyttede sårbarheter, CISA Known Exploited Vulnerabilities .

Microsoft fordømte avsløringene – og tonet senere ned tonen

Microsoft reagerte først kraftig. Selskapet kalte de ukoordinerte avsløringene «uansvarlige» og advarte om at kundene ble utsatt for betydelig risiko før oppdateringer eller beskyttelsestiltak var klare .

Mot slutten av mai ble konflikten ytterligere trappet opp da Microsoft truet med å sende saken videre til politiet for en mulig strafferettslig etterforskning . Det utløste sterk kritikk fra deler av sikkerhetsmiljøet. Kritikerne mente Microsofts egen håndtering av de første rapportene – og stengingen av forskerens kontoer – hadde bidratt til at sårbarhetene ble publisert offentlig .

Etter presset endret Microsoft tonen. 2. juni uttalte selskapet offentlig at det «ikke har til hensikt å gå til sak mot personer som driver med eller publiserer sikkerhetsforskning» . Uttalelsen var langt mildere enn de tidligere advarslene, men konflikten var allerede blitt offentlig.

Hva RoguePlanet betyr for sikkerheten

RoguePlanet viser hvorfor en installert oppdatering ikke alltid er det samme som full beskyttelse. Patch Tuesday lukket et stort antall kjente feil, men kunne ikke stanse en ny sårbarhet som ennå ikke var rapportert eller rettet.

For virksomheter og IT-ansvarlige er hovedpoenget derfor ikke at alle oppdaterte Windows-maskiner nødvendigvis er kompromittert. RoguePlanet krever innledende tilgang og skal være ustabil i praksis. Poenget er at Defender selv kan bli en del av angrepskjeden dersom en angriper allerede har fotfeste på maskinen.

Inntil Microsoft eventuelt kommer med en løsning, bør sikkerhetsteam følge med på nye varsler om RoguePlanet, begrense unødvendig lokal tilgang og bruke overvåking av mistenkelig privilegieeskalering. Saken illustrerer samtidig den mer grunnleggende konflikten i moderne sikkerhetsarbeid: Når rapporteringskanalene bryter sammen, kan konsekvensen bli at tekniske detaljer og fungerende angrepskode publiseres før kundene har fått et vern.