Как RoguePlanet предоставляет доступ уровня SYSTEM

RoguePlanet — это эксплойт локального повышения привилегий (LPE), нацеленный на состояние гонки в логике исправления файлов Microsoft Defender . Когда Defender обнаруживает вредоносный файл, особенно размещенный на удаленном SMB-сервере, он проверяет путь к файлу перед тем, как предпринять действия, такие как карантин или удаление. Уязвимость существует потому, что Defender не проверяет путь повторно в момент выполнения операции записи, создавая узкое временное окно .

Атакующий, выигравший это состояние гонки, может перенаправить Defender на перезапись его собственных легитимных файлов или выполнение произвольного кода, в конечном итоге запуская командную строку с привилегиями SYSTEM . Это обеспечивает полный контроль над машиной, но у подхода есть существенный недостаток. Исследователь описал эксплойт как принципиально ненадежный, назвав его «удар или промах» и отметив 100% успех на одних машинах и полный провал на других .

Несколько ключевых технических деталей определяют угрозу:

• Требуется первоначальный доступ: Атакующий должен сначала получить доступ с низкими привилегиями к целевой машине, прежде чем он сможет попытаться повысить их .
• Независимое подтверждение: Компания ThreatLocker успешно воспроизвела эксплойт в системах со всеми установленными обновлениями июня 2026 года .
• Текущее исправление отсутствует: На момент раскрытия уязвимость затрагивает полностью пропатченные Windows 10 и Windows 11, и патча нет .

Техника является продолжением исследований, использованных в предыдущих раскрытиях Nightmare Eclipse, таких как BlueHammer (CVE-2026-33825), который также эксплуатировал состояние гонки «проверка времени — время использования» (TOCTOU) в процессе исправления Defender .

Эксплойт, приуроченный к затмению Patch Tuesday

Июньский Patch Tuesday 2026 от Microsoft исправил рекордные 200 уязвимостей, включая исправления для двух дефектов Defender — BlueHammer и RedSun — которые Nightmare Eclipse публично раскрыл в предыдущие месяцы . Масштаб обновления должен был сигнализировать о всеобъемлющем ответе в области безопасности.

Rapid7 отметила, что три из публично раскрытых уязвимостей в июньской партии были напрямую связаны с продолжающейся сагой о Nightmare Eclipse . Ответ исследователя был немедленным и театральным. 28 мая он пообещал «сокрушительную» публикацию нулевого дня в Patch Tuesday . Публикация RoguePlanet всего через несколько часов после выхода патчей была прямым заявлением о том, что процесс неадекватен .

Многомесячный спор, стоящий за эксплойтом

Публикация RoguePlanet произошла не в вакууме. Это седьмая уязвимость нулевого дня, опубликованная Nightmare Eclipse с апреля 2026 года, каждая из которых обостряет горький спор с Microsoft, в который вовлечено более широкое сообщество специалистов по безопасности .

Претензии исследователя

Nightmare Eclipse, который также использует псевдонимы Chaotic Eclipse и MSNightmare, утверждает, что неоднократно отправлял отчеты об уязвимостях через официальный портал Microsoft MSRC, но они были проигнорированы, закрыты без объяснения причин или встречены пренебрежительными ответами . Исследователь также утверждает, что Microsoft заблокировала его учетные записи на GitHub, GitLab и портале MSRC, фактически отрезав все официальные каналы для сообщения об ошибках . Почувствовав себя публично униженным и без возможности обратиться, исследователь начал публиковать полноценные эксплойты нулевого дня, включая функциональный код подтверждения концепции .

Каскад уязвимостей нулевого дня

До RoguePlanet было публично раскрыто шесть уязвимостей, каждая из которых расширяла круг затронутых систем:

• BlueHammer (CVE-2026-33825) — Состояние гонки в Defender, приводящее к LPE
• RedSun (CVE-2026-41091) — Еще один дефект LPE в Defender
• UnDefend (CVE-2026-45498) — Третья уязвимость Defender
• YellowKey, GreenPlasma и MiniPlasma — Дефекты, затрагивающие такие компоненты, как BitLocker и CTF

К концу мая три из них — BlueHammer, RedSun и UnDefend — были подтверждены как активно эксплуатируемые в реальных атаках, и Агентство по кибербезопасности и безопасности инфраструктуры США (CISA) добавило их в свой каталог известных эксплуатируемых уязвимостей .

Усиление ответа Microsoft и отступление

Первоначальный ответ Microsoft был жестким. Компания опубликовала сообщение в блоге, осуждающее «безответственное» нескоординированное раскрытие и предупреждающее, что оно подвергает клиентов значительному риску до того, как будут доступны исправления . Ситуация обострилась в конце мая, когда Microsoft пригрозила передать дело в правоохранительные органы для уголовного расследования, что вызвало немедленную негативную реакцию сообщества специалистов по безопасности .

Критики утверждали, что обработка Microsoft первоначальных отчетов — их игнорирование или закрытие, а также блокировка учетных записей исследователя — была коренной причиной публичных раскрытий . Давление оказало измеримый эффект. К 2 июня Microsoft публично смягчила свою позицию, выпустив заявление о том, что «не намерена преследовать лиц, проводящих или публикующих исследования в области безопасности» . Однако ущерб уже был нанесен, и обещанная публикация в Patch Tuesday состоялась по расписанию.

RoguePlanet — это осязаемый продукт сломанного конвейера раскрытия информации. Он демонстрирует работающий эксплойт в системах, которые, по всем официальным данным, были полностью безопасны. Для защитников немедленный урок заключается в том, что один только Patch Tuesday не может считаться полной границей безопасности, когда неразрешенные состояния гонки в основных продуктах безопасности остаются эксплуатируемыми.

Как RoguePlanet предоставляет доступ уровня SYSTEM

RoguePlanet — это эксплойт локального повышения привилегий (LPE), нацеленный на состояние гонки в логике исправления файлов Microsoft Defender . Когда Defender обнаруживает вредоносный файл, особенно размещенный на удаленном SMB-сервере, он проверяет путь к файлу перед тем, как предпринять действия, такие как карантин или удаление. Уязвимость существует потому, что Defender не проверяет путь повторно в момент выполнения операции записи, создавая узкое временное окно .

Атакующий, выигравший это состояние гонки, может перенаправить Defender на перезапись его собственных легитимных файлов или выполнение произвольного кода, в конечном итоге запуская командную строку с привилегиями SYSTEM . Это обеспечивает полный контроль над машиной, но у подхода есть существенный недостаток. Исследователь описал эксплойт как принципиально ненадежный, назвав его «удар или промах» и отметив 100% успех на одних машинах и полный провал на других .

Несколько ключевых технических деталей определяют угрозу:

• Требуется первоначальный доступ: Атакующий должен сначала получить доступ с низкими привилегиями к целевой машине, прежде чем он сможет попытаться повысить их .
• Независимое подтверждение: Компания ThreatLocker успешно воспроизвела эксплойт в системах со всеми установленными обновлениями июня 2026 года .
• Текущее исправление отсутствует: На момент раскрытия уязвимость затрагивает полностью пропатченные Windows 10 и Windows 11, и патча нет .

Техника является продолжением исследований, использованных в предыдущих раскрытиях Nightmare Eclipse, таких как BlueHammer (CVE-2026-33825), который также эксплуатировал состояние гонки «проверка времени — время использования» (TOCTOU) в процессе исправления Defender .

Эксплойт, приуроченный к затмению Patch Tuesday

Июньский Patch Tuesday 2026 от Microsoft исправил рекордные 200 уязвимостей, включая исправления для двух дефектов Defender — BlueHammer и RedSun — которые Nightmare Eclipse публично раскрыл в предыдущие месяцы . Масштаб обновления должен был сигнализировать о всеобъемлющем ответе в области безопасности.

Rapid7 отметила, что три из публично раскрытых уязвимостей в июньской партии были напрямую связаны с продолжающейся сагой о Nightmare Eclipse . Ответ исследователя был немедленным и театральным. 28 мая он пообещал «сокрушительную» публикацию нулевого дня в Patch Tuesday . Публикация RoguePlanet всего через несколько часов после выхода патчей была прямым заявлением о том, что процесс неадекватен .

Многомесячный спор, стоящий за эксплойтом

Публикация RoguePlanet произошла не в вакууме. Это седьмая уязвимость нулевого дня, опубликованная Nightmare Eclipse с апреля 2026 года, каждая из которых обостряет горький спор с Microsoft, в который вовлечено более широкое сообщество специалистов по безопасности .

Претензии исследователя

Nightmare Eclipse, который также использует псевдонимы Chaotic Eclipse и MSNightmare, утверждает, что неоднократно отправлял отчеты об уязвимостях через официальный портал Microsoft MSRC, но они были проигнорированы, закрыты без объяснения причин или встречены пренебрежительными ответами . Исследователь также утверждает, что Microsoft заблокировала его учетные записи на GitHub, GitLab и портале MSRC, фактически отрезав все официальные каналы для сообщения об ошибках . Почувствовав себя публично униженным и без возможности обратиться, исследователь начал публиковать полноценные эксплойты нулевого дня, включая функциональный код подтверждения концепции .

Каскад уязвимостей нулевого дня

До RoguePlanet было публично раскрыто шесть уязвимостей, каждая из которых расширяла круг затронутых систем:

• BlueHammer (CVE-2026-33825) — Состояние гонки в Defender, приводящее к LPE
• RedSun (CVE-2026-41091) — Еще один дефект LPE в Defender
• UnDefend (CVE-2026-45498) — Третья уязвимость Defender
• YellowKey, GreenPlasma и MiniPlasma — Дефекты, затрагивающие такие компоненты, как BitLocker и CTF

К концу мая три из них — BlueHammer, RedSun и UnDefend — были подтверждены как активно эксплуатируемые в реальных атаках, и Агентство по кибербезопасности и безопасности инфраструктуры США (CISA) добавило их в свой каталог известных эксплуатируемых уязвимостей .

Усиление ответа Microsoft и отступление

Первоначальный ответ Microsoft был жестким. Компания опубликовала сообщение в блоге, осуждающее «безответственное» нескоординированное раскрытие и предупреждающее, что оно подвергает клиентов значительному риску до того, как будут доступны исправления . Ситуация обострилась в конце мая, когда Microsoft пригрозила передать дело в правоохранительные органы для уголовного расследования, что вызвало немедленную негативную реакцию сообщества специалистов по безопасности .

Критики утверждали, что обработка Microsoft первоначальных отчетов — их игнорирование или закрытие, а также блокировка учетных записей исследователя — была коренной причиной публичных раскрытий . Давление оказало измеримый эффект. К 2 июня Microsoft публично смягчила свою позицию, выпустив заявление о том, что «не намерена преследовать лиц, проводящих или публикующих исследования в области безопасности» . Однако ущерб уже был нанесен, и обещанная публикация в Patch Tuesday состоялась по расписанию.

RoguePlanet — это осязаемый продукт сломанного конвейера раскрытия информации. Он демонстрирует работающий эксплойт в системах, которые, по всем официальным данным, были полностью безопасны. Для защитников немедленный урок заключается в том, что один только Patch Tuesday не может считаться полной границей безопасности, когда неразрешенные состояния гонки в основных продуктах безопасности остаются эксплуатируемыми.