Jak działa atak? Wyścig TOCTOU w samym Defenderze

Źródłem problemu jest wyścig typu Time-of-Check to Time-of-Use (TOCTOU), powiązany z nieprawidłowym rozwiązywaniem odwołań do plików przed ich użyciem — klasyfikowanym jako CWE-59 .

Silnik Microsoft Malware Protection Engine działa z założenia jako proces NT AUTHORITY\SYSTEM. Atakujący wykorzystuje różnicę między momentem sprawdzenia ścieżki a momentem wykonania operacji na wskazanym pliku:

• użytkownik o niskich uprawnieniach tworzy odpowiednio przygotowany plik lub dowiązanie symboliczne;
• Defender sprawdza ścieżkę, ale zanim z niej skorzysta, atakujący podmienia wskazanie;
• za pomocą mechanizmu oplock można precyzyjniej sterować czasem tej podmiany i zwiększyć szanse na wygranie wyścigu;
• silnik wykonuje uprzywilejowaną operację — na przykład zapis lub uruchomienie pliku — w lokalizacji wybranej przez atakującego .

W rezultacie zwykły użytkownik może doprowadzić do uruchomienia powłoki z uprawnieniami SYSTEM . Nie jest to atak zdalny: napastnik musi już mieć dostęp do komputera i możliwość uruchomienia na nim kodu. Nie potrzebuje jednak dodatkowych uprawnień administracyjnych .

Według opisów publicznego exploita mechanizm działa niezależnie od tego, czy ochrona w czasie rzeczywistym Microsoft Defendera jest włączona, czy wyłączona . Samo wyłączenie ochrony nie jest więc wiarygodnym sposobem ograniczenia ryzyka.

Ocena CVSS i poziom zagrożenia

Microsoft przyznał CVE-2026-50656 ocenę CVSS 3.1: 7,8 (HIGH). W ocenie producenta złożoność ataku jest niska, ponieważ użycie oplocków ma zwiększać przewidywalność wyścigu. Wektor Microsoftu uwzględnia lokalny wektor ataku, niskie wymagane uprawnienia, brak interakcji użytkownika oraz wysoki wpływ na poufność, integralność i dostępność systemu .

Baza NVD podaje natomiast wynik 7,0 (HIGH), przypisując atakowi wysoką złożoność, co odzwierciedla trudność techniczną samego wyścigu . W ocenie czasowej Microsoftu wynik wynosi 7,6 .

Microsoft oznaczył podatność jako „Exploitation More Likely”, czyli taką, której wykorzystanie uznaje za bardziej prawdopodobne . Nie oznacza to jednak samo w sobie potwierdzenia powszechnego wykorzystania luki w rzeczywistych atakach.

Oś czasu: exploit wcześniej niż reakcja Microsoftu

Między publikacją działającego kodu a oficjalnym potwierdzeniem podatności minęło około sześciu dni. Na początku lipca exploit był publicznie dostępny od mniej więcej miesiąca, podczas gdy trwała praca nad poprawką .

Kto ujawnił lukę i co łączy ją z wcześniejszymi błędami Defendera?

RoguePlanet odkrył i opublikował badacz działający pod pseudonimami Nightmare Eclipse oraz Chaotic Eclipse . Według dostępnych opisów CVE-2026-50656 jest siódmym exploitem w trwającej kampanii badawczej wymierzonej w Microsoft Defendera .

Wcześniej w ramach tej serii ujawniono między innymi podatności nazwane BlueHammer, RedSun, UnDefend, YellowKey i GreenPlasma . TechRadar określił RoguePlanet jako część długotrwałych badań nad powierzchnią ataku Defendera . Niezależne odtworzenia mechanizmu proof-of-concept przez zewnętrzne zespoły, w tym ThreatLocker, miały potwierdzić jego powtarzalność .

Dlaczego opóźnienie poprawki wywołało krytykę?

Największe kontrowersje wynikają z połączenia trzech czynników: publicznego, działającego exploita, obecności podatnego komponentu w szeroko używanym systemie oraz braku poprawki poza regularnym cyklem aktualizacji.

• Red Hound zwracał uwagę, że działający exploit dla antywirusa dołączanego do każdej kopii Windowsa był publicznie dostępny od ponad dwóch tygodni, a poprawki nadal nie było .
• Cloud Security Alliance określił sytuację z 19 czerwca — dziewięć dni po ujawnieniu — jako alarmującą, ponieważ nie ogłoszono ani poprawki, ani harmonogramu aktualizacji out-of-band dla podatności obecnej w systemach konsumenckich i firmowych .
• Według cve.tools 1 lipca, czyli 21 dni po publikacji exploita, nadal nie było poprawki. Serwis uznał tak długi czas ekspozycji za nietypowy w przypadku publicznie wykorzystywalnej luki zero-day w kluczowym komponencie bezpieczeństwa .
• Analitycy wskazywali również na paradoks: komponent mający chronić system przed zagrożeniami może stać się drogą do uzyskania uprawnień SYSTEM .

Defender jest domyślnie obecny i aktywny w instalacjach Windows, dlatego potencjalna powierzchnia ataku jest bardzo duża. Jednocześnie publiczny kod demonstracyjny oznacza, że samo zastosowanie zwykłych aktualizacji systemu z czerwca nie rozwiązuje problemu .

Co powinny zrobić organizacje?

Zainstalować poprawkę, gdy tylko się pojawi

Po wydaniu aktualizacji należy niezwłocznie zaktualizować Microsoft Malware Protection Engine (MsMpEng). Aktualizacja może zostać dostarczona przez Windows Update lub Microsoft Update Catalog . Do czasu jej publikacji administratorzy powinni śledzić komunikat CVE oraz informacje Microsoft Security Response Center (MSRC) dotyczące ewentualnej aktualizacji out-of-band .

Na dzień 10 lipca 2026 r. oficjalna poprawka nie była dostępna.

Ograniczyć dostęp lokalny

Ponieważ wykorzystanie wymaga lokalnego dostępu i uruchomienia kodu, warto:

• ograniczyć liczbę kont użytkowników na wrażliwych stacjach i serwerach;
• uniemożliwić dostęp fizyczny i logiczny osobom niezaufanym lub niezweryfikowanym;
• stosować model najmniejszych uprawnień i nie przyznawać zwykłym użytkownikom praw lokalnego administratora .

Brak uprawnień administratora nie blokuje jednak samego RoguePlanet — podatność właśnie pozwala przejść ze zwykłego konta do poziomu SYSTEM .

Włączyć kontrolę uruchamiania aplikacji

Organizacje powinny rozważyć wymuszenie reguł AppLocker lub WDAC (Windows Defender Application Control), aby blokować nieautoryzowane pliki wykonywalne i skrypty, w tym niezaufane binaria proof-of-concept . Przydatne mogą być także reguły ASR (Attack Surface Reduction) ograniczające uruchamianie nieufnych procesów i typowe techniki kradzieży danych uwierzytelniających. Nie ma jednak gwarancji, że same reguły ASR zatrzymają wyścig TOCTOU .

Monitorować nietypowe artefakty

Zespoły bezpieczeństwa powinny skonfigurować EDR i systemy monitoringu pod kątem:

• nietypowego użycia oplocków;
• tworzenia dowiązań symbolicznych przez procesy inne niż SYSTEM;
• nieoczekiwanych operacji na plikach wykonywanych przez procesy związane z Defenderem;
• uruchamiania niezatwierdzonych plików i skryptów.

Są to środki tymczasowe, a nie substytut poprawki. Najpewniejszą kontrolą do czasu aktualizacji pozostaje ograniczenie możliwości lokalnego uruchamiania kodu przez niezaufanych użytkowników .

Jak działa atak? Wyścig TOCTOU w samym Defenderze

Źródłem problemu jest wyścig typu Time-of-Check to Time-of-Use (TOCTOU), powiązany z nieprawidłowym rozwiązywaniem odwołań do plików przed ich użyciem — klasyfikowanym jako CWE-59 .

Silnik Microsoft Malware Protection Engine działa z założenia jako proces NT AUTHORITY\SYSTEM. Atakujący wykorzystuje różnicę między momentem sprawdzenia ścieżki a momentem wykonania operacji na wskazanym pliku:

• użytkownik o niskich uprawnieniach tworzy odpowiednio przygotowany plik lub dowiązanie symboliczne;
• Defender sprawdza ścieżkę, ale zanim z niej skorzysta, atakujący podmienia wskazanie;
• za pomocą mechanizmu oplock można precyzyjniej sterować czasem tej podmiany i zwiększyć szanse na wygranie wyścigu;
• silnik wykonuje uprzywilejowaną operację — na przykład zapis lub uruchomienie pliku — w lokalizacji wybranej przez atakującego .

W rezultacie zwykły użytkownik może doprowadzić do uruchomienia powłoki z uprawnieniami SYSTEM . Nie jest to atak zdalny: napastnik musi już mieć dostęp do komputera i możliwość uruchomienia na nim kodu. Nie potrzebuje jednak dodatkowych uprawnień administracyjnych .

Według opisów publicznego exploita mechanizm działa niezależnie od tego, czy ochrona w czasie rzeczywistym Microsoft Defendera jest włączona, czy wyłączona . Samo wyłączenie ochrony nie jest więc wiarygodnym sposobem ograniczenia ryzyka.

Ocena CVSS i poziom zagrożenia

Microsoft przyznał CVE-2026-50656 ocenę CVSS 3.1: 7,8 (HIGH). W ocenie producenta złożoność ataku jest niska, ponieważ użycie oplocków ma zwiększać przewidywalność wyścigu. Wektor Microsoftu uwzględnia lokalny wektor ataku, niskie wymagane uprawnienia, brak interakcji użytkownika oraz wysoki wpływ na poufność, integralność i dostępność systemu .

Baza NVD podaje natomiast wynik 7,0 (HIGH), przypisując atakowi wysoką złożoność, co odzwierciedla trudność techniczną samego wyścigu . W ocenie czasowej Microsoftu wynik wynosi 7,6 .

Microsoft oznaczył podatność jako „Exploitation More Likely”, czyli taką, której wykorzystanie uznaje za bardziej prawdopodobne . Nie oznacza to jednak samo w sobie potwierdzenia powszechnego wykorzystania luki w rzeczywistych atakach.

Oś czasu: exploit wcześniej niż reakcja Microsoftu

Między publikacją działającego kodu a oficjalnym potwierdzeniem podatności minęło około sześciu dni. Na początku lipca exploit był publicznie dostępny od mniej więcej miesiąca, podczas gdy trwała praca nad poprawką .

Kto ujawnił lukę i co łączy ją z wcześniejszymi błędami Defendera?

RoguePlanet odkrył i opublikował badacz działający pod pseudonimami Nightmare Eclipse oraz Chaotic Eclipse . Według dostępnych opisów CVE-2026-50656 jest siódmym exploitem w trwającej kampanii badawczej wymierzonej w Microsoft Defendera .

Wcześniej w ramach tej serii ujawniono między innymi podatności nazwane BlueHammer, RedSun, UnDefend, YellowKey i GreenPlasma . TechRadar określił RoguePlanet jako część długotrwałych badań nad powierzchnią ataku Defendera . Niezależne odtworzenia mechanizmu proof-of-concept przez zewnętrzne zespoły, w tym ThreatLocker, miały potwierdzić jego powtarzalność .

Dlaczego opóźnienie poprawki wywołało krytykę?

Największe kontrowersje wynikają z połączenia trzech czynników: publicznego, działającego exploita, obecności podatnego komponentu w szeroko używanym systemie oraz braku poprawki poza regularnym cyklem aktualizacji.

• Red Hound zwracał uwagę, że działający exploit dla antywirusa dołączanego do każdej kopii Windowsa był publicznie dostępny od ponad dwóch tygodni, a poprawki nadal nie było .
• Cloud Security Alliance określił sytuację z 19 czerwca — dziewięć dni po ujawnieniu — jako alarmującą, ponieważ nie ogłoszono ani poprawki, ani harmonogramu aktualizacji out-of-band dla podatności obecnej w systemach konsumenckich i firmowych .
• Według cve.tools 1 lipca, czyli 21 dni po publikacji exploita, nadal nie było poprawki. Serwis uznał tak długi czas ekspozycji za nietypowy w przypadku publicznie wykorzystywalnej luki zero-day w kluczowym komponencie bezpieczeństwa .
• Analitycy wskazywali również na paradoks: komponent mający chronić system przed zagrożeniami może stać się drogą do uzyskania uprawnień SYSTEM .

Defender jest domyślnie obecny i aktywny w instalacjach Windows, dlatego potencjalna powierzchnia ataku jest bardzo duża. Jednocześnie publiczny kod demonstracyjny oznacza, że samo zastosowanie zwykłych aktualizacji systemu z czerwca nie rozwiązuje problemu .

Co powinny zrobić organizacje?

Zainstalować poprawkę, gdy tylko się pojawi

Po wydaniu aktualizacji należy niezwłocznie zaktualizować Microsoft Malware Protection Engine (MsMpEng). Aktualizacja może zostać dostarczona przez Windows Update lub Microsoft Update Catalog . Do czasu jej publikacji administratorzy powinni śledzić komunikat CVE oraz informacje Microsoft Security Response Center (MSRC) dotyczące ewentualnej aktualizacji out-of-band .

Na dzień 10 lipca 2026 r. oficjalna poprawka nie była dostępna.

Ograniczyć dostęp lokalny

Ponieważ wykorzystanie wymaga lokalnego dostępu i uruchomienia kodu, warto:

• ograniczyć liczbę kont użytkowników na wrażliwych stacjach i serwerach;
• uniemożliwić dostęp fizyczny i logiczny osobom niezaufanym lub niezweryfikowanym;
• stosować model najmniejszych uprawnień i nie przyznawać zwykłym użytkownikom praw lokalnego administratora .

Brak uprawnień administratora nie blokuje jednak samego RoguePlanet — podatność właśnie pozwala przejść ze zwykłego konta do poziomu SYSTEM .

Włączyć kontrolę uruchamiania aplikacji

Organizacje powinny rozważyć wymuszenie reguł AppLocker lub WDAC (Windows Defender Application Control), aby blokować nieautoryzowane pliki wykonywalne i skrypty, w tym niezaufane binaria proof-of-concept . Przydatne mogą być także reguły ASR (Attack Surface Reduction) ograniczające uruchamianie nieufnych procesów i typowe techniki kradzieży danych uwierzytelniających. Nie ma jednak gwarancji, że same reguły ASR zatrzymają wyścig TOCTOU .

Monitorować nietypowe artefakty

Zespoły bezpieczeństwa powinny skonfigurować EDR i systemy monitoringu pod kątem:

• nietypowego użycia oplocków;
• tworzenia dowiązań symbolicznych przez procesy inne niż SYSTEM;
• nieoczekiwanych operacji na plikach wykonywanych przez procesy związane z Defenderem;
• uruchamiania niezatwierdzonych plików i skryptów.

Są to środki tymczasowe, a nie substytut poprawki. Najpewniejszą kontrolą do czasu aktualizacji pozostaje ograniczenie możliwości lokalnego uruchamiania kodu przez niezaufanych użytkowników .