Dlaczego Microsoft wycofał się z pozwów wobec badacza Nightmare Eclipse?

Żadne z ujawnień nie było zgodne z praktyką skoordynowanego ujawniania luk (CVD). Badacz publikował każdy exploit bez wcześniejszego powiadomienia Microsoftu, często synchronizując premiery bezpośrednio po standardowym Patch Tuesday, aby zmaksymalizować okno ekspozycji na ataki .

Szybko potwierdzono, że trzy z sześciu luk były już aktywnie wykorzystywane: BlueHammer (CVE-2026-33825), RedSun (CVE-2026-41091) i UnDefend (CVE-2026-45498) . Amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) dodała je do swojego katalogu znanych, wykorzystywanych luk, nakazując agencjom federalnym wdrożenie awaryjnych poprawek . Microsoft załatał BlueHammer w standardowym cyklu Patch Tuesday 14 kwietnia, a 21 maja wydał nadzwyczajne poprawki dla RedSun i UnDefend po zgłoszeniach o aktywnych atakach . Pozostałe trzy – YellowKey (obejście BitLockera, CVE-2026-45585), GreenPlasma i MiniPlasma – na początku czerwca wciąż były niezałatane .

Badacz twierdził, że ma długą historię żalów do Microsoftu o sposób obsługi zgłoszeń luk. Nightmare Eclipse utrzymywał, że wcześniejsze raporty przesyłane oficjalnymi kanałami były ignorowane lub źle obsługiwane, a wypłaty nagród za znalezione błędy (podobno sięgające nawet 250 000 dolarów za exploity Hyper-V) były wstrzymywane . Microsoft z kolei oświadczył, że badacz nie zgłosił luk przez oficjalne kanały przed ich publikacją .

Jak Microsoft eskalował konflikt

Sytuacja dramatycznie zaostrzyła się w ostatnim tygodniu maja. Około 23 maja konto Nightmare Eclipse na GitHubie zostało zawieszone. Następnie, około 26–27 maja, badacz został zablokowany na GitLabie . Działając już tylko ze swojego prywatnego bloga, badacz zagroził „miażdżącą kości” publikacją kolejnych exploitów, zaplanowaną na 14 lipca 2026 roku – dzień kolejnego Patch Tuesday .

27 maja zespół MSRC Microsoftu opublikował na swoim blogu wpis zatytułowany „Wspólna odpowiedzialność: ochrona klientów poprzez skoordynowane ujawnianie luk” . Wpis potępiał nieskoordynowane ujawnienia, stwierdzając, że „nieskoordynowane ujawnienia, które dostarczają kod proof-of-concept dla niezałatanych luk w ręce złych aktorów, nigdy nie są usprawiedliwione i mają realne konsekwencje” .

Szczególny niepokój w środowisku cyberbezpieczeństwa wzbudził jeden konkretny fragment:

„Nasza Jednostka ds. Cyberprzestępczości (Digital Crimes Unit) będzie nadal kierować sprawy przeciwko tym podmiotom i tym, którzy umożliwiają ich przestępczą działalność – koordynując w razie potrzeby działania z organami ścigania na całym świecie” .

Chociaż Microsoft nie wymienił Nightmare Eclipse z nazwiska, kontekst wpisu – bezpośrednia odpowiedź na trwającą kampanię zero-day – sprawił, że wielu badaczy bezpieczeństwa zinterpretowało to jako konkretną groźbę prawną skierowaną przeciwko badaczowi .

Społeczność cyberbezpieczeństwa wybucha

Reakcja była natychmiastowa i zdecydowanie negatywna. Badacze bezpieczeństwa, komentatorzy branżowi i główne serwisy technologiczne oskarżyli Microsoft o taktykę zastraszania, która może ostudzić zapał do prowadzenia legalnych badań nad bezpieczeństwem .

W ciągu kilku dni wiele mediów opublikowało krytyczne artykuły. Nagłówek TechCruncha brzmiał: „Microsoft pod ostrzałem za grożenie badaczowi bezpieczeństwa śledztwem kryminalnym” . Windows Central donosiło o osobistym strachu badacza tytułem „Zrujnują mi życie” . The Register, Security Affairs, CSO Online i The Times of India – wszystkie te media opisywały falę krytyki i „oburzenie” w środowisku cyberbezpieczeństwa .

W centrum krytyki znalazł się jeden motyw: badacze argumentowali, że prawna postawa Microsoftu podważa zaufanie do samego procesu skoordynowanego ujawniania luk. Jeśli badacze mieliby się obawiać represji prawnych, mogliby całkowicie przestać zgłaszać błędy oficjalnymi kanałami . Kilku komentatorów dostrzegło ironię w tym, że Microsoft grozi badaczowi, podczas gdy trzy z sześciu ujawnionych luk wciąż pozostają niezałatane .

Badacz bezpieczeństwa Kevin Beaumont publicznie wypunktował sposób, w jaki Microsoft poradził sobie z całą sytuacją, kwestionując adekwatność reakcji firmy . Powszechna opinia skrystalizowała się wokół idei, że to Microsoft sprowokował eskalację, źle obsługując początkowe zgłoszenia badacza, a następnie pogłębił problem, pobrzękując szabelką w postaci gróźb prawnych .

Odwrót z 2 czerwca

2 czerwca 2026 roku Microsoft zmienił kurs. W oświadczeniu opublikowanym na platformie X i cytowanym przez wiele mediów, firma zadeklarowała: „Aby wyjaśnić nasze podejście do kwestii prawnych: nie mamy zamiaru podejmować działań przeciwko osobom prowadzącym lub publikującym swoje badania bezpieczeństwa” .

Oświadczenie to stało w bezpośredniej sprzeczności z językiem Jednostki ds. Cyberprzestępczości z wpisu na blogu z 27 maja. Microsoft próbował przedstawić swoją wcześniejszą komunikację jako ogólne stwierdzenie na temat praktyk skoordynowanego ujawniania, a nie konkretną groźbę wobec Nightmare Eclipse .

Niemiecki blog technologiczny BornCity opisał odwrót jako „pewne wycofanie się rakiem” Microsoftu po „gównoburzy”, jaką wywołał wpis MSRC . Branżowy serwis iTnews poinformował, że ten ruch „następuje po silnym sprzeciwie badaczy bezpieczeństwa” .

Co ten odwrót naprawdę oznacza

Oświadczenie z 2 czerwca najlepiej rozumieć jako działanie mające na celu ograniczenie szkód wizerunkowych, a nie jako remanent polityki. Microsoft nie zobowiązał się do zmiany swoich oczekiwań dotyczących ujawniania luk, ani nie odniósł się do podstawowych roszczeń badacza dotyczących źle obsłużonych zgłoszeń i niezapłaconych nagród. Firma wycofała groźbę prawną, jednocześnie podtrzymując swoje stanowisko, że nieskoordynowane ujawnianie jest nieodpowiedzialne .

Reakcje środowiska badawczego odzwierciedlały ten sceptycyzm. Wielu postrzegało to „wyjaśnienie” jako taktyczny odwrót wymuszony presją publiczną, a nie jako autentyczne zaangażowanie w ochronę praw badaczy . Nierozwiązany status luk YellowKey, GreenPlasma i MiniPlasma – wszystkie wciąż bez poprawek na początku czerwca – nadal podsycał krytykę, że priorytety Microsoftu są źle ustawione .

Cały epizod obnażył głębokie napięcia w normach ujawniania luk. Skoordynowane ujawnianie opiera się na zaufaniu: badacze prywatnie zgłaszają błędy, a producenci oprogramowania łatają je w rozsądnym czasie. Gdy któraś ze stron dostrzeże zerwanie tej niepisanej umowy – czy to przez ignorowanie zgłoszeń, wstrzymywanie nagród, czy groźby prawne – cały system staje się kruchy. Do zmiany stanowiska Microsoftu przyczyniły się trzy czynniki: skala i szybkość oburzenia społeczności, groźba badacza o jeszcze większej „dostawie” exploitów 14 lipca oraz niewygodny wizerunkowo fakt grożenia krokami prawnymi, podczas gdy własne łatki firmy wciąż były niekompletne.