RoguePlanet (CVE-2026-50656): неустранимая zero-day уязвимость в Microsoft Defender, дающая полный доступ к системе

Что такое CVE-2026-50656 (RoguePlanet)?

CVE-2026-50656, получившая название RoguePlanet, — это zero-day уязвимость локального повышения привилегий (EoP) в Microsoft Malware Protection Engine (MsMpEng), основном сканирующем ядре Microsoft Defender Antivirus ^CL. Она затрагивает все редакции Windows 10 и Windows 11 (Home, Pro, Enterprise, LTSC), включая системы, полностью обновлённые до июньского Patch Tuesday 2026 года (KB5094126) ^L.

Как это работает: TOCTOU-гонка в антивирусном движке

Ошибка представляет собой состояние гонки типа «проверка времени использования» (Time-of-Check to Time-of-Use, TOCTOU), корнем которой является проблема неправильного разрешения ссылок (CWE-59) ^GP. Движок Microsoft Malware Protection Engine по умолчанию работает с правами NT AUTHORITY\SYSTEM. Эксплойт использует гонку внутри самого движка:

• Пользователь с низкими привилегиями создает специально сформированную символическую ссылку или файл, который движок проверяет (Time-of-Check), а затем подменяет его до того, как движок его использует (Time-of-Use).
• Выиграв эту гонку — с помощью блокировки (oplock) для надёжного контроля времени — атакующий перенаправляет файловую операцию движка в произвольное место, например, в каталог, который он контролирует ^PT.
• Затем движок выполняет привилегированную файловую операцию (например, запись или выполнение) по пути, выбранному атакующим, что фактически запускает командную оболочку с правами SYSTEM ^KL.

Эксплойт является локальным — атакующий уже должен иметь стандартный доступ к машине, — но не требует дополнительных прав ^C. Он также работает независимо от того, включена ли защита в реальном времени Defender или отключена ^MI.

CVSS-оценка и уровень опасности

Microsoft присваивает базовый балл CVSS 3.1 — 7.8 (HIGH), указывая «Низкую сложность атаки» (утверждая, что блокировка делает гонку надежной). NVD указывает базовый балл 7.0 (HIGH) со «Сложной атакой» (признавая сложность гонки). Временной вектор (E:F/RL:U/RC:C) дает временной балл 7.6 по оценке Microsoft ^CLM.

Уязвимость оценена как «Эксплуатация более вероятна» по индексу эксплуатируемости Microsoft ^KC.

Хронология публичного раскрытия

Критическим стал разрыв между публикацией эксплойта и признанием Microsoft:

Дата	Событие
10 июня 2026 г.	Исследователь публикует рабочий эксплойт — через несколько часов после июньского Patch Tuesday от Microsoft CLF.
16 июня 2026 г.	Microsoft официально публикует уведомление о CVE-2026-50656 и признает уязвимость как zero-day NW.
16–19 июня 2026 г.	Публикация NVD, уведомления Microsoft и широкое освещение в сообществе безопасности NM.
По состоянию на 4–10 июля 2026 г.	Патч не выпущен. Сроки внеочередного обновления не объявлены CT.

Разрыв между публичным эксплойтом (10 июня) и признанием Microsoft (16 июня) составил около 6 дней. По состоянию на начало июля 2026 года эксплойт находится в открытом доступе уже примерно месяц, а исправления нет ^FT.

Кто обнаружил: кампания Nightmare Eclipse

Уязвимость была обнаружена и публично раскрыта исследователем безопасности, работающим под псевдонимами Nightmare Eclipse (также известен как Chaotic Eclipse) ^CTH.

Это седьмой эксплойт в продолжающейся кампании исследователя, направленной против Microsoft Defender. Ранее были раскрыты такие уязвимости Defender, как BlueHammer, RedSun, UnDefend, YellowKey и GreenPlasma ^PD. TechRadar характеризует RoguePlanet как часть «долгосрочной исследовательской кампании против поверхности атаки Defender» ^H. Подтвержденное воспроизведение PoC сторонними группами, такими как ThreatLocker, подтверждает надежность цепочки эксплойтов ^T.

Критика сообщества в адрес задержки патча

Затянувшееся отсутствие патча вызвало резкую критику со стороны ИБ-сообщества:

• Red Hound описал ситуацию прямо: «Рабочий эксплойт для антивируса, который поставляется в каждой копии Windows, находится в открытом доступе уже более двух недель, а патча всё нет» ^R.
• Cloud Security Alliance отметила, что по состоянию на 19 июня — через девять дней после раскрытия — не было объявлено ни о патче, ни о сроках внеочередного выпуска, назвав это окно «тревожным» для уязвимости, которая присутствует на каждом потребительском и корпоративном устройстве Windows ^L.
• cve.tools сообщили, что к 1 июля 2026 года (21 день после раскрытия) патча не существовало, и такое длительное воздействие было «необычным для публично эксплуатируемой zero-day в критическом компоненте безопасности» ^C.
• Многие источники подчеркивали иронию того, что собственный антивирусный движок Microsoft — последняя линия защиты — используется как вектор для компрометации на уровне SYSTEM, а отсутствие срочных действий со стороны Microsoft ставит под вопрос процессы реагирования на уязвимости ^MH.

Ключевое разочарование: поскольку Defender включен по умолчанию во всех установках Windows, уязвимость имеет огромную поверхность атаки, однако не было выпущено ни одного промежуточного патча (вне очереди), несмотря на общедоступный функциональный код эксплойта ^HFL.

Временные меры защиты и шаги для организаций

Источники единодушно рекомендуют следующие шаги до выхода постоянного исправления от Microsoft:

Установите исправление, когда оно станет доступно

• Обновите Microsoft Malware Protection Engine (MsMpEng) после выпуска обновления безопасности. Обычно оно доставляется через Windows Update или Microsoft Update Catalog ^W.
• По состоянию на 10 июля 2026 г. исправления не существовало — следите за уведомлениями CVE и Microsoft Security Response Center (MSRC) на предмет внеочередного выпуска ^NC.

Временные меры (патча нет)

• Ограничьте локальные учетные записи. Поскольку эксплойт требует интерактивного входа в систему, минимизируйте количество обычных пользователей на критически важных системах ^KL.
• Включите AppLocker или WDAC (Windows Defender Application Control), чтобы заблокировать запуск неавторизованных исполняемых файлов и скриптов, включая непроверенные бинарники PoC ^LI.
• Включите правила ASR (Attack Surface Reduction), которые могут блокировать кражу учетных данных и недоверенные процессы, хотя они могут напрямую не останавливать состояние гонки TOCTOU ^F.
• Отслеживайте известные артефакты эксплойта. Эксплойт использует создание специфических блокировок и символических ссылок. Разверните правила EDR, которые предупреждают о нестандартном использовании блокировок и неожиданном создании символических ссылок процессами, не являющимися SYSTEM ^LF.
• Ограничьте физический и логический доступ к конечным точкам Windows для недоверенных или непроверенных пользователей. Это наиболее надежный временный контроль, поскольку уязвимость требует локального выполнения кода ^KL.
• Используйте модель наименьших привилегий — не предоставляйте права локального администратора обычным пользователям, хотя это не предотвращает эксплойт (он повышает привилегии от обычного пользователя до SYSTEM) ^CL.