Как это работает: TOCTOU-гонка в антивирусном движке

Ошибка представляет собой состояние гонки типа «проверка времени использования» (Time-of-Check to Time-of-Use, TOCTOU), корнем которой является проблема неправильного разрешения ссылок (CWE-59) . Движок Microsoft Malware Protection Engine по умолчанию работает с правами NT AUTHORITY\SYSTEM. Эксплойт использует гонку внутри самого движка:

• Пользователь с низкими привилегиями создает специально сформированную символическую ссылку или файл, который движок проверяет (Time-of-Check), а затем подменяет его до того, как движок его использует (Time-of-Use).
• Выиграв эту гонку — с помощью блокировки (oplock) для надёжного контроля времени — атакующий перенаправляет файловую операцию движка в произвольное место, например, в каталог, который он контролирует .
• Затем движок выполняет привилегированную файловую операцию (например, запись или выполнение) по пути, выбранному атакующим, что фактически запускает командную оболочку с правами SYSTEM .

Эксплойт является локальным — атакующий уже должен иметь стандартный доступ к машине, — но не требует дополнительных прав . Он также работает независимо от того, включена ли защита в реальном времени Defender или отключена .

CVSS-оценка и уровень опасности

Microsoft присваивает базовый балл CVSS 3.1 — 7.8 (HIGH), указывая «Низкую сложность атаки» (утверждая, что блокировка делает гонку надежной). NVD указывает базовый балл 7.0 (HIGH) со «Сложной атакой» (признавая сложность гонки). Временной вектор (E:F/RL:U/RC:C) дает временной балл 7.6 по оценке Microsoft .

Уязвимость оценена как «Эксплуатация более вероятна» по индексу эксплуатируемости Microsoft .

Хронология публичного раскрытия

Критическим стал разрыв между публикацией эксплойта и признанием Microsoft:

Разрыв между публичным эксплойтом (10 июня) и признанием Microsoft (16 июня) составил около 6 дней. По состоянию на начало июля 2026 года эксплойт находится в открытом доступе уже примерно месяц, а исправления нет .

Кто обнаружил: кампания Nightmare Eclipse

Уязвимость была обнаружена и публично раскрыта исследователем безопасности, работающим под псевдонимами Nightmare Eclipse (также известен как Chaotic Eclipse) .

Это седьмой эксплойт в продолжающейся кампании исследователя, направленной против Microsoft Defender. Ранее были раскрыты такие уязвимости Defender, как BlueHammer, RedSun, UnDefend, YellowKey и GreenPlasma . TechRadar характеризует RoguePlanet как часть «долгосрочной исследовательской кампании против поверхности атаки Defender» . Подтвержденное воспроизведение PoC сторонними группами, такими как ThreatLocker, подтверждает надежность цепочки эксплойтов .

Критика сообщества в адрес задержки патча

Затянувшееся отсутствие патча вызвало резкую критику со стороны ИБ-сообщества:

• Red Hound описал ситуацию прямо: «Рабочий эксплойт для антивируса, который поставляется в каждой копии Windows, находится в открытом доступе уже более двух недель, а патча всё нет» .
• Cloud Security Alliance отметила, что по состоянию на 19 июня — через девять дней после раскрытия — не было объявлено ни о патче, ни о сроках внеочередного выпуска, назвав это окно «тревожным» для уязвимости, которая присутствует на каждом потребительском и корпоративном устройстве Windows .
• cve.tools сообщили, что к 1 июля 2026 года (21 день после раскрытия) патча не существовало, и такое длительное воздействие было «необычным для публично эксплуатируемой zero-day в критическом компоненте безопасности» .
• Многие источники подчеркивали иронию того, что собственный антивирусный движок Microsoft — последняя линия защиты — используется как вектор для компрометации на уровне SYSTEM, а отсутствие срочных действий со стороны Microsoft ставит под вопрос процессы реагирования на уязвимости .

Ключевое разочарование: поскольку Defender включен по умолчанию во всех установках Windows, уязвимость имеет огромную поверхность атаки, однако не было выпущено ни одного промежуточного патча (вне очереди), несмотря на общедоступный функциональный код эксплойта .

Временные меры защиты и шаги для организаций

Источники единодушно рекомендуют следующие шаги до выхода постоянного исправления от Microsoft:

Установите исправление, когда оно станет доступно

• Обновите Microsoft Malware Protection Engine (MsMpEng) после выпуска обновления безопасности. Обычно оно доставляется через Windows Update или Microsoft Update Catalog .
• По состоянию на 10 июля 2026 г. исправления не существовало — следите за уведомлениями CVE и Microsoft Security Response Center (MSRC) на предмет внеочередного выпуска .

Временные меры (патча нет)

• Ограничьте локальные учетные записи. Поскольку эксплойт требует интерактивного входа в систему, минимизируйте количество обычных пользователей на критически важных системах .
• Включите AppLocker или WDAC (Windows Defender Application Control), чтобы заблокировать запуск неавторизованных исполняемых файлов и скриптов, включая непроверенные бинарники PoC .
• Включите правила ASR (Attack Surface Reduction), которые могут блокировать кражу учетных данных и недоверенные процессы, хотя они могут напрямую не останавливать состояние гонки TOCTOU .
• Отслеживайте известные артефакты эксплойта. Эксплойт использует создание специфических блокировок и символических ссылок. Разверните правила EDR, которые предупреждают о нестандартном использовании блокировок и неожиданном создании символических ссылок процессами, не являющимися SYSTEM .
• Ограничьте физический и логический доступ к конечным точкам Windows для недоверенных или непроверенных пользователей. Это наиболее надежный временный контроль, поскольку уязвимость требует локального выполнения кода .
• Используйте модель наименьших привилегий — не предоставляйте права локального администратора обычным пользователям, хотя это не предотвращает эксплойт (он повышает привилегии от обычного пользователя до SYSTEM) .

Как это работает: TOCTOU-гонка в антивирусном движке

Ошибка представляет собой состояние гонки типа «проверка времени использования» (Time-of-Check to Time-of-Use, TOCTOU), корнем которой является проблема неправильного разрешения ссылок (CWE-59) . Движок Microsoft Malware Protection Engine по умолчанию работает с правами NT AUTHORITY\SYSTEM. Эксплойт использует гонку внутри самого движка:

• Пользователь с низкими привилегиями создает специально сформированную символическую ссылку или файл, который движок проверяет (Time-of-Check), а затем подменяет его до того, как движок его использует (Time-of-Use).
• Выиграв эту гонку — с помощью блокировки (oplock) для надёжного контроля времени — атакующий перенаправляет файловую операцию движка в произвольное место, например, в каталог, который он контролирует .
• Затем движок выполняет привилегированную файловую операцию (например, запись или выполнение) по пути, выбранному атакующим, что фактически запускает командную оболочку с правами SYSTEM .

Эксплойт является локальным — атакующий уже должен иметь стандартный доступ к машине, — но не требует дополнительных прав . Он также работает независимо от того, включена ли защита в реальном времени Defender или отключена .

CVSS-оценка и уровень опасности

Microsoft присваивает базовый балл CVSS 3.1 — 7.8 (HIGH), указывая «Низкую сложность атаки» (утверждая, что блокировка делает гонку надежной). NVD указывает базовый балл 7.0 (HIGH) со «Сложной атакой» (признавая сложность гонки). Временной вектор (E:F/RL:U/RC:C) дает временной балл 7.6 по оценке Microsoft .

Уязвимость оценена как «Эксплуатация более вероятна» по индексу эксплуатируемости Microsoft .

Хронология публичного раскрытия

Критическим стал разрыв между публикацией эксплойта и признанием Microsoft:

Разрыв между публичным эксплойтом (10 июня) и признанием Microsoft (16 июня) составил около 6 дней. По состоянию на начало июля 2026 года эксплойт находится в открытом доступе уже примерно месяц, а исправления нет .

Кто обнаружил: кампания Nightmare Eclipse

Уязвимость была обнаружена и публично раскрыта исследователем безопасности, работающим под псевдонимами Nightmare Eclipse (также известен как Chaotic Eclipse) .

Это седьмой эксплойт в продолжающейся кампании исследователя, направленной против Microsoft Defender. Ранее были раскрыты такие уязвимости Defender, как BlueHammer, RedSun, UnDefend, YellowKey и GreenPlasma . TechRadar характеризует RoguePlanet как часть «долгосрочной исследовательской кампании против поверхности атаки Defender» . Подтвержденное воспроизведение PoC сторонними группами, такими как ThreatLocker, подтверждает надежность цепочки эксплойтов .

Критика сообщества в адрес задержки патча

Затянувшееся отсутствие патча вызвало резкую критику со стороны ИБ-сообщества:

• Red Hound описал ситуацию прямо: «Рабочий эксплойт для антивируса, который поставляется в каждой копии Windows, находится в открытом доступе уже более двух недель, а патча всё нет» .
• Cloud Security Alliance отметила, что по состоянию на 19 июня — через девять дней после раскрытия — не было объявлено ни о патче, ни о сроках внеочередного выпуска, назвав это окно «тревожным» для уязвимости, которая присутствует на каждом потребительском и корпоративном устройстве Windows .
• cve.tools сообщили, что к 1 июля 2026 года (21 день после раскрытия) патча не существовало, и такое длительное воздействие было «необычным для публично эксплуатируемой zero-day в критическом компоненте безопасности» .
• Многие источники подчеркивали иронию того, что собственный антивирусный движок Microsoft — последняя линия защиты — используется как вектор для компрометации на уровне SYSTEM, а отсутствие срочных действий со стороны Microsoft ставит под вопрос процессы реагирования на уязвимости .

Ключевое разочарование: поскольку Defender включен по умолчанию во всех установках Windows, уязвимость имеет огромную поверхность атаки, однако не было выпущено ни одного промежуточного патча (вне очереди), несмотря на общедоступный функциональный код эксплойта .

Временные меры защиты и шаги для организаций

Источники единодушно рекомендуют следующие шаги до выхода постоянного исправления от Microsoft:

Установите исправление, когда оно станет доступно

• Обновите Microsoft Malware Protection Engine (MsMpEng) после выпуска обновления безопасности. Обычно оно доставляется через Windows Update или Microsoft Update Catalog .
• По состоянию на 10 июля 2026 г. исправления не существовало — следите за уведомлениями CVE и Microsoft Security Response Center (MSRC) на предмет внеочередного выпуска .

Временные меры (патча нет)

• Ограничьте локальные учетные записи. Поскольку эксплойт требует интерактивного входа в систему, минимизируйте количество обычных пользователей на критически важных системах .
• Включите AppLocker или WDAC (Windows Defender Application Control), чтобы заблокировать запуск неавторизованных исполняемых файлов и скриптов, включая непроверенные бинарники PoC .
• Включите правила ASR (Attack Surface Reduction), которые могут блокировать кражу учетных данных и недоверенные процессы, хотя они могут напрямую не останавливать состояние гонки TOCTOU .
• Отслеживайте известные артефакты эксплойта. Эксплойт использует создание специфических блокировок и символических ссылок. Разверните правила EDR, которые предупреждают о нестандартном использовании блокировок и неожиданном создании символических ссылок процессами, не являющимися SYSTEM .
• Ограничьте физический и логический доступ к конечным точкам Windows для недоверенных или непроверенных пользователей. Это наиболее надежный временный контроль, поскольку уязвимость требует локального выполнения кода .
• Используйте модель наименьших привилегий — не предоставляйте права локального администратора обычным пользователям, хотя это не предотвращает эксплойт (он повышает привилегии от обычного пользователя до SYSTEM) .