Nie jest to wyłącznie techniczna ciekawostka. Publikacja RoguePlanet stała się kolejnym, bardzo widocznym etapem osobistego i publicznego konfliktu między badaczem a Microsoftem dotyczącego sposobu zgłaszania i naprawiania luk.

Jak działa RoguePlanet?

RoguePlanet to exploit typu local privilege escalation (LPE), czyli narzędzie do podnoszenia uprawnień lokalnego użytkownika. Wykorzystuje on warunek wyścigu — race condition — w mechanizmie przetwarzania i naprawiania złośliwych plików przez Microsoft Defendera .

Gdy Defender wykrywa podejrzany plik, sprawdza jego ścieżkę, a następnie może go poddać kwarantannie lub usunąć. Problem polega na tym, że ścieżka nie jest ponownie weryfikowana dokładnie w chwili wykonania operacji zapisu. Powstaje w ten sposób krótkie okno czasowe, które napastnik może próbować wykorzystać .

Jeżeli atak zakończy się powodzeniem, Defender może zostać nakłoniony do nadpisania własnych, prawidłowych plików albo uruchomienia dowolnego kodu. W efekcie atakujący może otworzyć wiersz poleceń z uprawnieniami SYSTEM, czyli najwyższym poziomem dostępu do lokalnego systemu Windows .

Nie oznacza to jednak, że exploit jest niezawodny. Sam badacz określił go jako „hit or miss” — na części komputerów miał osiągać stuprocentową skuteczność, a na innych całkowicie zawodzić . Firma ThreatLocker niezależnie odtworzyła działanie RoguePlanet na systemach, na których zainstalowano wszystkie czerwcowe aktualizacje Microsoftu .

Najważniejsze fakty:

• Wymagany jest wcześniejszy dostęp do urządzenia: napastnik musi najpierw mieć konto lub proces działający z niskimi uprawnieniami .
• Luka dotyczy zaktualizowanych systemów: według ujawnień RoguePlanet działa na Windows 10 i Windows 11 po zastosowaniu czerwcowych poprawek .
• W chwili ujawnienia nie było poprawki: aktualizacje z czerwcowego Patch Tuesday nie usuwały tego konkretnego problemu .
• Skuteczność zależy od synchronizacji procesów: wykorzystanie race condition wymaga trafienia w bardzo krótkie okno czasowe .

Technika przypomina rozwiązanie zastosowane wcześniej w exploicie BlueHammer (CVE-2026-33825), który również wykorzystywał błąd typu TOCTOU — „time of check to time of use” — w procesie naprawiania zagrożeń przez Defendera .

Dlaczego RoguePlanet pojawił się właśnie w Patch Tuesday?

Czerwcowy pakiet Microsoftu obejmował 200 podatności, trzy publicznie znane zero-daye oraz poprawki dla dwóch wcześniej ujawnionych luk w Defenderze: BlueHammer i RedSun . Firma chciała w ten sposób objąć szeroką odpowiedzią bezpieczeństwa dużą grupę problemów zgłaszanych w ostatnich miesiącach.

Rapid7 odnotował, że trzy publicznie ujawnione podatności znajdujące się w czerwcowym zestawie były bezpośrednio związane z historią Nightmare Eclipse . Badacz odpowiedział niemal natychmiast. 28 maja zapowiedział publikację „bone shattering” zero-dayu w dniu Patch Tuesday . RoguePlanet został udostępniony kilka godzin po rozpoczęciu dystrybucji poprawek .

Timing publikacji miał więc jasny wydźwięk: nawet największy pakiet aktualizacji nie zamyka problemu, jeśli w tym samym produkcie pozostają niezałatane błędy logiczne. Dla administratorów oznacza to, że sam fakt zainstalowania najnowszych aktualizacji nie zawsze jest pełną granicą bezpieczeństwa.

Siódmy zero-day w trwającym konflikcie

RoguePlanet jest siódmą luką typu zero-day publicznie ujawnioną przez Nightmare Eclipse od kwietnia 2026 roku . Wcześniejsza seria obejmowała:

• BlueHammer (CVE-2026-33825) — błąd race condition w Defenderze prowadzący do podniesienia uprawnień ;
• RedSun (CVE-2026-41091) — kolejna luka LPE w Defenderze ;
• UnDefend (CVE-2026-45498) — następny problem dotyczący Defendera ;
• YellowKey, GreenPlasma i MiniPlasma — podatności dotyczące między innymi BitLockera i komponentu CTF .

Pod koniec maja BlueHammer, RedSun i UnDefend miały być wykorzystywane w rzeczywistych atakach, a amerykańska Cybersecurity and Infrastructure Security Agency (CISA) dodała je do katalogu Known Exploited Vulnerabilities, czyli listy luk potwierdzonych jako aktywnie wykorzystywane .

Zarzuty Nightmare Eclipse wobec Microsoftu

Badacz, występujący także pod pseudonimami Chaotic Eclipse i MSNightmare, twierdzi, że wielokrotnie przekazywał Microsoftowi informacje o podatnościach za pośrednictwem oficjalnego portalu Microsoft Security Response Center (MSRC). Według jego relacji zgłoszenia były ignorowane, zamykane bez wyjaśnienia albo spotykały się z lekceważącą odpowiedzią .

Nightmare Eclipse twierdzi również, że Microsoft zablokował jego konta na GitHubie, GitLabie i w portalu MSRC, odcinając go od oficjalnych kanałów zgłaszania błędów . Badacz przekonywał, że po tym, jak poczuł się publicznie upokorzony i pozbawiony możliwości dalszego kontaktu, zaczął publikować kompletne exploity zero-day wraz z działającym kodem proof of concept .

Są to twierdzenia badacza, które stały się osią sporu. Ich konsekwencją było odejście od skoordynowanego ujawniania podatności, w którym badacz najpierw prywatnie przekazuje szczegóły producentowi i daje mu czas na przygotowanie poprawki.

Ostra reakcja Microsoftu i późniejsze złagodzenie stanowiska

Microsoft potępił publiczne, nieskoordynowane ujawnianie luk jako „nieodpowiedzialne” i ostrzegł, że publikowanie szczegółów oraz kodu przed przygotowaniem poprawek naraża klientów na poważne ryzyko . Pod koniec maja firma zasugerowała także możliwość przekazania sprawy organom ścigania w związku z podejrzeniem przestępstwa .

Ta reakcja wywołała krytykę części społeczności zajmującej się bezpieczeństwem. Krytycy argumentowali, że sposób, w jaki Microsoft miał obsługiwać wcześniejsze zgłoszenia i blokować konta badacza, przyczynił się do przejścia na publiczne ujawnienia .

Pod wpływem presji Microsoft 2 czerwca złagodził komunikat. Firma stwierdziła, że „nie zamierza podejmować działań przeciwko osobom prowadzącym lub publikującym badania nad bezpieczeństwem” . Nie zakończyło to jednak sporu — a RoguePlanet został opublikowany zgodnie z wcześniejszą zapowiedzią.

Co to oznacza dla użytkowników i administratorów?

RoguePlanet nie jest prostą metodą zdalnego przejęcia dowolnego komputera. Wymaga wcześniejszego dostępu lokalnego i nie działa niezawodnie. Mimo to jego znaczenie jest poważne: pokazuje, że zaufany komponent bezpieczeństwa może sam stać się elementem łańcucha ataku, a zainstalowanie najnowszych poprawek nie musi oznaczać usunięcia wszystkich możliwych dróg eskalacji uprawnień.

W praktyce organizacje powinny nadal instalować aktualizacje, monitorować nietypowe działania Defendera i ograniczać możliwość uruchamiania nieznanych plików oraz procesów. Najważniejsza lekcja z tej historii dotyczy jednak nie tylko konkretnej luki. RoguePlanet jest również przykładem tego, jak zerwanie kanału komunikacji między badaczem a producentem może przerodzić się w publiczną serię ujawnień, zanim dostępne będą poprawki.

Nie jest to wyłącznie techniczna ciekawostka. Publikacja RoguePlanet stała się kolejnym, bardzo widocznym etapem osobistego i publicznego konfliktu między badaczem a Microsoftem dotyczącego sposobu zgłaszania i naprawiania luk.

Jak działa RoguePlanet?

RoguePlanet to exploit typu local privilege escalation (LPE), czyli narzędzie do podnoszenia uprawnień lokalnego użytkownika. Wykorzystuje on warunek wyścigu — race condition — w mechanizmie przetwarzania i naprawiania złośliwych plików przez Microsoft Defendera .

Gdy Defender wykrywa podejrzany plik, sprawdza jego ścieżkę, a następnie może go poddać kwarantannie lub usunąć. Problem polega na tym, że ścieżka nie jest ponownie weryfikowana dokładnie w chwili wykonania operacji zapisu. Powstaje w ten sposób krótkie okno czasowe, które napastnik może próbować wykorzystać .

Jeżeli atak zakończy się powodzeniem, Defender może zostać nakłoniony do nadpisania własnych, prawidłowych plików albo uruchomienia dowolnego kodu. W efekcie atakujący może otworzyć wiersz poleceń z uprawnieniami SYSTEM, czyli najwyższym poziomem dostępu do lokalnego systemu Windows .

Nie oznacza to jednak, że exploit jest niezawodny. Sam badacz określił go jako „hit or miss” — na części komputerów miał osiągać stuprocentową skuteczność, a na innych całkowicie zawodzić . Firma ThreatLocker niezależnie odtworzyła działanie RoguePlanet na systemach, na których zainstalowano wszystkie czerwcowe aktualizacje Microsoftu .

Najważniejsze fakty:

• Wymagany jest wcześniejszy dostęp do urządzenia: napastnik musi najpierw mieć konto lub proces działający z niskimi uprawnieniami .
• Luka dotyczy zaktualizowanych systemów: według ujawnień RoguePlanet działa na Windows 10 i Windows 11 po zastosowaniu czerwcowych poprawek .
• W chwili ujawnienia nie było poprawki: aktualizacje z czerwcowego Patch Tuesday nie usuwały tego konkretnego problemu .
• Skuteczność zależy od synchronizacji procesów: wykorzystanie race condition wymaga trafienia w bardzo krótkie okno czasowe .

Technika przypomina rozwiązanie zastosowane wcześniej w exploicie BlueHammer (CVE-2026-33825), który również wykorzystywał błąd typu TOCTOU — „time of check to time of use” — w procesie naprawiania zagrożeń przez Defendera .

Dlaczego RoguePlanet pojawił się właśnie w Patch Tuesday?

Czerwcowy pakiet Microsoftu obejmował 200 podatności, trzy publicznie znane zero-daye oraz poprawki dla dwóch wcześniej ujawnionych luk w Defenderze: BlueHammer i RedSun . Firma chciała w ten sposób objąć szeroką odpowiedzią bezpieczeństwa dużą grupę problemów zgłaszanych w ostatnich miesiącach.

Rapid7 odnotował, że trzy publicznie ujawnione podatności znajdujące się w czerwcowym zestawie były bezpośrednio związane z historią Nightmare Eclipse . Badacz odpowiedział niemal natychmiast. 28 maja zapowiedział publikację „bone shattering” zero-dayu w dniu Patch Tuesday . RoguePlanet został udostępniony kilka godzin po rozpoczęciu dystrybucji poprawek .

Timing publikacji miał więc jasny wydźwięk: nawet największy pakiet aktualizacji nie zamyka problemu, jeśli w tym samym produkcie pozostają niezałatane błędy logiczne. Dla administratorów oznacza to, że sam fakt zainstalowania najnowszych aktualizacji nie zawsze jest pełną granicą bezpieczeństwa.

Siódmy zero-day w trwającym konflikcie

RoguePlanet jest siódmą luką typu zero-day publicznie ujawnioną przez Nightmare Eclipse od kwietnia 2026 roku . Wcześniejsza seria obejmowała:

• BlueHammer (CVE-2026-33825) — błąd race condition w Defenderze prowadzący do podniesienia uprawnień ;
• RedSun (CVE-2026-41091) — kolejna luka LPE w Defenderze ;
• UnDefend (CVE-2026-45498) — następny problem dotyczący Defendera ;
• YellowKey, GreenPlasma i MiniPlasma — podatności dotyczące między innymi BitLockera i komponentu CTF .

Pod koniec maja BlueHammer, RedSun i UnDefend miały być wykorzystywane w rzeczywistych atakach, a amerykańska Cybersecurity and Infrastructure Security Agency (CISA) dodała je do katalogu Known Exploited Vulnerabilities, czyli listy luk potwierdzonych jako aktywnie wykorzystywane .

Zarzuty Nightmare Eclipse wobec Microsoftu

Badacz, występujący także pod pseudonimami Chaotic Eclipse i MSNightmare, twierdzi, że wielokrotnie przekazywał Microsoftowi informacje o podatnościach za pośrednictwem oficjalnego portalu Microsoft Security Response Center (MSRC). Według jego relacji zgłoszenia były ignorowane, zamykane bez wyjaśnienia albo spotykały się z lekceważącą odpowiedzią .

Nightmare Eclipse twierdzi również, że Microsoft zablokował jego konta na GitHubie, GitLabie i w portalu MSRC, odcinając go od oficjalnych kanałów zgłaszania błędów . Badacz przekonywał, że po tym, jak poczuł się publicznie upokorzony i pozbawiony możliwości dalszego kontaktu, zaczął publikować kompletne exploity zero-day wraz z działającym kodem proof of concept .

Są to twierdzenia badacza, które stały się osią sporu. Ich konsekwencją było odejście od skoordynowanego ujawniania podatności, w którym badacz najpierw prywatnie przekazuje szczegóły producentowi i daje mu czas na przygotowanie poprawki.

Ostra reakcja Microsoftu i późniejsze złagodzenie stanowiska

Microsoft potępił publiczne, nieskoordynowane ujawnianie luk jako „nieodpowiedzialne” i ostrzegł, że publikowanie szczegółów oraz kodu przed przygotowaniem poprawek naraża klientów na poważne ryzyko . Pod koniec maja firma zasugerowała także możliwość przekazania sprawy organom ścigania w związku z podejrzeniem przestępstwa .

Ta reakcja wywołała krytykę części społeczności zajmującej się bezpieczeństwem. Krytycy argumentowali, że sposób, w jaki Microsoft miał obsługiwać wcześniejsze zgłoszenia i blokować konta badacza, przyczynił się do przejścia na publiczne ujawnienia .

Pod wpływem presji Microsoft 2 czerwca złagodził komunikat. Firma stwierdziła, że „nie zamierza podejmować działań przeciwko osobom prowadzącym lub publikującym badania nad bezpieczeństwem” . Nie zakończyło to jednak sporu — a RoguePlanet został opublikowany zgodnie z wcześniejszą zapowiedzią.

Co to oznacza dla użytkowników i administratorów?

RoguePlanet nie jest prostą metodą zdalnego przejęcia dowolnego komputera. Wymaga wcześniejszego dostępu lokalnego i nie działa niezawodnie. Mimo to jego znaczenie jest poważne: pokazuje, że zaufany komponent bezpieczeństwa może sam stać się elementem łańcucha ataku, a zainstalowanie najnowszych poprawek nie musi oznaczać usunięcia wszystkich możliwych dróg eskalacji uprawnień.

W praktyce organizacje powinny nadal instalować aktualizacje, monitorować nietypowe działania Defendera i ograniczać możliwość uruchamiania nieznanych plików oraz procesów. Najważniejsza lekcja z tej historii dotyczy jednak nie tylko konkretnej luki. RoguePlanet jest również przykładem tego, jak zerwanie kanału komunikacji między badaczem a producentem może przerodzić się w publiczną serię ujawnień, zanim dostępne będą poprawki.