Como funciona: uma condição de corrida TOCTOU no próprio mecanismo antivírus

A falha é uma condição de corrida do tipo Tempo de Verificação para Tempo de Uso (TOCTOU) enraizada em um problema de resolução de link impróprio (CWE-59) . O Mecanismo de Proteção contra Malware da Microsoft é executado como NT AUTHORITY\SYSTEM por design. O exploit faz o mecanismo correr contra si mesmo:

• Um usuário com poucos privilégios cria um link simbólico ou arquivo especialmente criado que o mecanismo verifica (Tempo de Verificação) e o troca antes que o mecanismo o use (Tempo de Uso).
• Ao vencer essa corrida – usando um oplock (bloqueio oportunista) para controlar o tempo de forma confiável – o invasor redireciona a operação de arquivo do mecanismo para um local arbitrário, como um diretório que o invasor controla .
• O mecanismo então realiza uma operação de arquivo privilegiada (por exemplo, escrever ou executar) no caminho escolhido pelo invasor, efetivamente gerando um shell de comando executado com privilégios de SYSTEM .

O exploit é local – o invasor já deve ter acesso de usuário padrão à máquina – mas não requer privilégios adicionais além disso . Ele também funciona independentemente de a proteção em tempo real do Defender estar ativada ou desativada .

Pontuação CVSS e Gravidade

A Microsoft atribui uma pontuação base CVSS 3.1 de 7.8 (ALTA), usando Complexidade de Ataque: Baixa (argumentando que o oplock torna a corrida confiável). O NVD lista uma pontuação base de 7.0 (ALTA) com Complexidade de Ataque: Alta (reconhecendo a dificuldade da corrida). O vetor temporal (E:F/RL:U/RC:C) resulta em uma pontuação temporal de 7.6 sob a avaliação da Microsoft .

A vulnerabilidade é classificada como "Exploração Mais Provável" no Índice de Exploração da Microsoft .

Linha do Tempo da Divulgação Pública

A lacuna entre a liberação pública do exploit e o reconhecimento da Microsoft foi crítica:

A lacuna entre a liberação pública do exploit (10 de junho) e o reconhecimento da Microsoft (16 de junho) foi de aproximadamente 6 dias. No início de julho de 2026, o exploit estava público há cerca de um mês sem correção .

Quem Descobriu: A Campanha Nightmare Eclipse

A vulnerabilidade foi descoberta e divulgada publicamente por um pesquisador de segurança que opera sob os pseudônimos Nightmare Eclipse (também conhecido como Chaotic Eclipse) .

Este é o sétimo exploit na campanha contínua do pesquisador visando o Microsoft Defender. Falhas anteriores divulgadas no Defender incluíram vulnerabilidades de elevação de privilégio e bypass como BlueHammer, RedSun, UnDefend, YellowKey e GreenPlasma . O TechRadar caracteriza o RoguePlanet como parte de "uma campanha de pesquisa sustentada contra a superfície de ataque do Defender" . Reproduções validadas de PoC (Prova de Conceito) por grupos terceiros como a ThreatLocker confirmam a confiabilidade da cadeia de exploração .

Críticas da Comunidade ao Atraso do Patch

A lacuna prolongada de patch gerou fortes críticas da comunidade de segurança:

• Red Hound descreveu a situação diretamente: "Um exploit funcional para o antivírus que vem em todas as cópias do Windows está público há mais de duas semanas, e ainda não há patch" .
• Cloud Security Alliance observou que, em 19 de junho – nove dias após a divulgação – nenhum patch ou cronograma de lançamento fora do ciclo havia sido anunciado, chamando a janela de "alarmante" para uma vulnerabilidade que vem em todos os sistemas Windows, tanto de consumo quanto empresariais .
• cve.tools relatou que, em 1º de julho de 2026 (21 dias após a divulgação), não existia patch, e a exposição prolongada era "incomum para um zero-day publicamente explorado em um componente de segurança principal" .
• Múltiplas fontes destacaram a ironia de que o próprio mecanismo antivírus da Microsoft – a última linha de defesa – estava sendo usado como vetor para comprometimento em nível SYSTEM, e que a falta de urgência da Microsoft estava levantando questões sobre seus processos de resposta a vulnerabilidades .

A frustração central: como o Defender é ativado por padrão em todas as instalações do Windows, a vulnerabilidade tem uma enorme superfície de ataque, mas nenhum patch intermediário (fora do ciclo) foi emitido, apesar do código de exploit funcional estar publicamente disponível .

Mitigações Provisórias e Medidas que as Organizações Devem Tomar

As fontes recomendam consistentemente o seguinte até que a Microsoft lance uma correção permanente:

Aplicar a correção quando disponível

• Atualize o Mecanismo de Proteção contra Malware da Microsoft (MsMpEng) assim que a Microsoft lançar uma atualização de segurança. Isso é normalmente entregue através do Windows Update ou do Catálogo do Microsoft Update .
• Nenhuma correção existia em 10 de julho de 2026 – monitore o aviso CVE e o Microsoft Security Response Center (MSRC) para um lançamento fora do ciclo .

Mitigações provisórias (nenhum patch disponível)

• Restrinja contas de usuário locais. Como o exploit requer logon interativo, minimize o número de usuários padrão em sistemas confidenciais .
• Implemente AppLocker ou WDAC (Controle de Aplicativo do Windows Defender) para bloquear a execução de executáveis e scripts não autorizados, incluindo binários de PoC não confiáveis .
• Ative regras de ASR (Redução de Superfície de Ataque) que podem bloquear roubo de credenciais e processos não confiáveis – embora isso possa não impedir diretamente a corrida TOCTOU .
• Monitore artefatos conhecidos de exploit. O exploit depende da criação de oplocks e links simbólicos específicos. Implemente regras de EDR que alertem sobre uso anômalo de oplock e criação inesperada de symlink por processos que não sejam SYSTEM .
• Priorize a restrição de acesso físico/lógico a endpoints Windows para usuários não confiáveis ou não verificados. Este é o controle provisório mais confiável, pois a vulnerabilidade requer execução local de código .
• Use modelos de privilégio mínimo – não conceda direitos de administrador local a usuários padrão, embora isso não impeça o exploit (ele escala de usuário padrão para SYSTEM) .

Como funciona: uma condição de corrida TOCTOU no próprio mecanismo antivírus

A falha é uma condição de corrida do tipo Tempo de Verificação para Tempo de Uso (TOCTOU) enraizada em um problema de resolução de link impróprio (CWE-59) . O Mecanismo de Proteção contra Malware da Microsoft é executado como NT AUTHORITY\SYSTEM por design. O exploit faz o mecanismo correr contra si mesmo:

• Um usuário com poucos privilégios cria um link simbólico ou arquivo especialmente criado que o mecanismo verifica (Tempo de Verificação) e o troca antes que o mecanismo o use (Tempo de Uso).
• Ao vencer essa corrida – usando um oplock (bloqueio oportunista) para controlar o tempo de forma confiável – o invasor redireciona a operação de arquivo do mecanismo para um local arbitrário, como um diretório que o invasor controla .
• O mecanismo então realiza uma operação de arquivo privilegiada (por exemplo, escrever ou executar) no caminho escolhido pelo invasor, efetivamente gerando um shell de comando executado com privilégios de SYSTEM .

O exploit é local – o invasor já deve ter acesso de usuário padrão à máquina – mas não requer privilégios adicionais além disso . Ele também funciona independentemente de a proteção em tempo real do Defender estar ativada ou desativada .

Pontuação CVSS e Gravidade

A Microsoft atribui uma pontuação base CVSS 3.1 de 7.8 (ALTA), usando Complexidade de Ataque: Baixa (argumentando que o oplock torna a corrida confiável). O NVD lista uma pontuação base de 7.0 (ALTA) com Complexidade de Ataque: Alta (reconhecendo a dificuldade da corrida). O vetor temporal (E:F/RL:U/RC:C) resulta em uma pontuação temporal de 7.6 sob a avaliação da Microsoft .

A vulnerabilidade é classificada como "Exploração Mais Provável" no Índice de Exploração da Microsoft .

Linha do Tempo da Divulgação Pública

A lacuna entre a liberação pública do exploit e o reconhecimento da Microsoft foi crítica:

A lacuna entre a liberação pública do exploit (10 de junho) e o reconhecimento da Microsoft (16 de junho) foi de aproximadamente 6 dias. No início de julho de 2026, o exploit estava público há cerca de um mês sem correção .

Quem Descobriu: A Campanha Nightmare Eclipse

A vulnerabilidade foi descoberta e divulgada publicamente por um pesquisador de segurança que opera sob os pseudônimos Nightmare Eclipse (também conhecido como Chaotic Eclipse) .

Este é o sétimo exploit na campanha contínua do pesquisador visando o Microsoft Defender. Falhas anteriores divulgadas no Defender incluíram vulnerabilidades de elevação de privilégio e bypass como BlueHammer, RedSun, UnDefend, YellowKey e GreenPlasma . O TechRadar caracteriza o RoguePlanet como parte de "uma campanha de pesquisa sustentada contra a superfície de ataque do Defender" . Reproduções validadas de PoC (Prova de Conceito) por grupos terceiros como a ThreatLocker confirmam a confiabilidade da cadeia de exploração .

Críticas da Comunidade ao Atraso do Patch

A lacuna prolongada de patch gerou fortes críticas da comunidade de segurança:

• Red Hound descreveu a situação diretamente: "Um exploit funcional para o antivírus que vem em todas as cópias do Windows está público há mais de duas semanas, e ainda não há patch" .
• Cloud Security Alliance observou que, em 19 de junho – nove dias após a divulgação – nenhum patch ou cronograma de lançamento fora do ciclo havia sido anunciado, chamando a janela de "alarmante" para uma vulnerabilidade que vem em todos os sistemas Windows, tanto de consumo quanto empresariais .
• cve.tools relatou que, em 1º de julho de 2026 (21 dias após a divulgação), não existia patch, e a exposição prolongada era "incomum para um zero-day publicamente explorado em um componente de segurança principal" .
• Múltiplas fontes destacaram a ironia de que o próprio mecanismo antivírus da Microsoft – a última linha de defesa – estava sendo usado como vetor para comprometimento em nível SYSTEM, e que a falta de urgência da Microsoft estava levantando questões sobre seus processos de resposta a vulnerabilidades .

A frustração central: como o Defender é ativado por padrão em todas as instalações do Windows, a vulnerabilidade tem uma enorme superfície de ataque, mas nenhum patch intermediário (fora do ciclo) foi emitido, apesar do código de exploit funcional estar publicamente disponível .

Mitigações Provisórias e Medidas que as Organizações Devem Tomar

As fontes recomendam consistentemente o seguinte até que a Microsoft lance uma correção permanente:

Aplicar a correção quando disponível

• Atualize o Mecanismo de Proteção contra Malware da Microsoft (MsMpEng) assim que a Microsoft lançar uma atualização de segurança. Isso é normalmente entregue através do Windows Update ou do Catálogo do Microsoft Update .
• Nenhuma correção existia em 10 de julho de 2026 – monitore o aviso CVE e o Microsoft Security Response Center (MSRC) para um lançamento fora do ciclo .

Mitigações provisórias (nenhum patch disponível)

• Restrinja contas de usuário locais. Como o exploit requer logon interativo, minimize o número de usuários padrão em sistemas confidenciais .
• Implemente AppLocker ou WDAC (Controle de Aplicativo do Windows Defender) para bloquear a execução de executáveis e scripts não autorizados, incluindo binários de PoC não confiáveis .
• Ative regras de ASR (Redução de Superfície de Ataque) que podem bloquear roubo de credenciais e processos não confiáveis – embora isso possa não impedir diretamente a corrida TOCTOU .
• Monitore artefatos conhecidos de exploit. O exploit depende da criação de oplocks e links simbólicos específicos. Implemente regras de EDR que alertem sobre uso anômalo de oplock e criação inesperada de symlink por processos que não sejam SYSTEM .
• Priorize a restrição de acesso físico/lógico a endpoints Windows para usuários não confiáveis ou não verificados. Este é o controle provisório mais confiável, pois a vulnerabilidade requer execução local de código .
• Use modelos de privilégio mínimo – não conceda direitos de administrador local a usuários padrão, embora isso não impeça o exploit (ele escala de usuário padrão para SYSTEM) .