RoguePlanet: den nya Defender-nollan som släpptes timmar efter Microsofts största patchdag
RoguePlanet utnyttjar en kapplöpning i Microsoft Defender och kan i lyckade fall ge en angripare SYSTEM behörighet på fullt uppdaterade Windows 10 och 11 system [2][5]. Nollan publicerades bara timmar efter Microsofts junipatch, som åtgärdade 200 sårbarheter – däribland tre zero days och två tidigare offentliggjorda...
RoguePlanet utnyttjar en kapplöpning i Microsoft Defender och kan i lyckade fall ge en angripare SYSTEM behörighet på fullt uppdaterade Windows 10 och 11 system [2][5].
Nollan publicerades bara timmar efter Microsofts junipatch, som åtgärdade 200 sårbarheter – däribland tre zero days och två tidigare offentliggjorda Defender fel [2][4][6].
Det är det sjunde offentliga zero day släppet från Nightmare Eclipse sedan april 2026, efter en långvarig tvist om hur Microsoft hanterat tidigare rapporter [3][8].
What is the RoguePlanet zero-day exploit for Microsoft Defender, how does it work, what is its connection to the June 2026 Patch Tuesday updAn artistic visualization of the RoguePlanet exploit overshadowing Microsoft’s security defenses shortly after the June 2026 Patch Tuesday.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the RoguePlanet zero-day exploit for Microsoft Defender, how does it work, what is its connection to the June 2026 Patch Tuesday upd. Article summary: ## What RoguePlanet Is. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "* Microsoft Defender 'RoguePlanet' zero-day grants SYSTEM privileges. A security researcher has released a new Microsoft Defender zero-day exploit named "RoguePlanet" just hours af" source context "Microsoft Defender 'RoguePlanet' zero-day grants SYSTEM privileges" Reference image 2: visual subject "This is a BETA experience. Microsoft and CISA confirm Defender zero-days exploited in the wild. Microsoft has started rolling out an emergency security update for Microsoft Defende" source context "2 New Microso
openai.com
RoguePlanet blev en obehaglig överraskning för Windows-användare. Bara timmar efter att Microsoft hade släppt sina säkerhetsuppdateringar för juni 2026 publicerade säkerhetsforskaren Nightmare Eclipse en ny zero-day-exploit för Microsoft Defender .
Det särskilt besvärliga är att exploiten enligt uppgifterna fungerar även på Windows 10- och Windows 11-datorer där alla uppdateringar från junipatchen har installerats. I lyckade fall kan den ge en lokal angripare en kommandotolk med den högsta behörighetsnivån i Windows: SYSTEM.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "RoguePlanet: den nya Defender-nollan som släpptes timmar efter Microsofts största patchdag"?
RoguePlanet utnyttjar en kapplöpning i Microsoft Defender och kan i lyckade fall ge en angripare SYSTEM behörighet på fullt uppdaterade Windows 10 och 11 system [2][5].
What are the key points to validate first?
RoguePlanet utnyttjar en kapplöpning i Microsoft Defender och kan i lyckade fall ge en angripare SYSTEM behörighet på fullt uppdaterade Windows 10 och 11 system [2][5]. Nollan publicerades bara timmar efter Microsofts junipatch, som åtgärdade 200 sårbarheter – däribland tre zero days och två tidigare offentliggjorda Defender fel [2][4][6].
What should I do next in practice?
Det är det sjunde offentliga zero day släppet från Nightmare Eclipse sedan april 2026, efter en långvarig tvist om hur Microsoft hanterat tidigare rapporter [3][8].
RoguePlanet: den nya Defender-nollan som släpptes timmar efter Microsofts största patchdag
RoguePlanet utnyttjar en kapplöpning i Microsoft Defender och kan i lyckade fall ge en angripare SYSTEM behörighet på fullt uppdaterade Windows 10 och 11 system [2][5]. Nollan publicerades bara timmar efter Microsofts junipatch, som åtgärdade 200 sårbarheter – däribland tre zero days och två tidigare offentliggjorda...
RoguePlanet utnyttjar en kapplöpning i Microsoft Defender och kan i lyckade fall ge en angripare SYSTEM behörighet på fullt uppdaterade Windows 10 och 11 system [2][5].
Nollan publicerades bara timmar efter Microsofts junipatch, som åtgärdade 200 sårbarheter – däribland tre zero days och två tidigare offentliggjorda Defender fel [2][4][6].
Det är det sjunde offentliga zero day släppet från Nightmare Eclipse sedan april 2026, efter en långvarig tvist om hur Microsoft hanterat tidigare rapporter [3][8].
What is the RoguePlanet zero-day exploit for Microsoft Defender, how does it work, what is its connection to the June 2026 Patch Tuesday updAn artistic visualization of the RoguePlanet exploit overshadowing Microsoft’s security defenses shortly after the June 2026 Patch Tuesday.
AI Prompt
Create a landscape editorial hero image for this Studio Global article: What is the RoguePlanet zero-day exploit for Microsoft Defender, how does it work, what is its connection to the June 2026 Patch Tuesday upd. Article summary: ## What RoguePlanet Is. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "* Microsoft Defender 'RoguePlanet' zero-day grants SYSTEM privileges. A security researcher has released a new Microsoft Defender zero-day exploit named "RoguePlanet" just hours af" source context "Microsoft Defender 'RoguePlanet' zero-day grants SYSTEM privileges" Reference image 2: visual subject "This is a BETA experience. Microsoft and CISA confirm Defender zero-days exploited in the wild. Microsoft has started rolling out an emergency security update for Microsoft Defende" source context "2 New Microso
openai.com
RoguePlanet blev en obehaglig överraskning för Windows-användare. Bara timmar efter att Microsoft hade släppt sina säkerhetsuppdateringar för juni 2026 publicerade säkerhetsforskaren Nightmare Eclipse en ny zero-day-exploit för Microsoft Defender .
Det särskilt besvärliga är att exploiten enligt uppgifterna fungerar även på Windows 10- och Windows 11-datorer där alla uppdateringar från junipatchen har installerats. I lyckade fall kan den ge en lokal angripare en kommandotolk med den högsta behörighetsnivån i Windows: SYSTEM.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
What is the short answer to "RoguePlanet: den nya Defender-nollan som släpptes timmar efter Microsofts största patchdag"?
RoguePlanet utnyttjar en kapplöpning i Microsoft Defender och kan i lyckade fall ge en angripare SYSTEM behörighet på fullt uppdaterade Windows 10 och 11 system [2][5].
What are the key points to validate first?
RoguePlanet utnyttjar en kapplöpning i Microsoft Defender och kan i lyckade fall ge en angripare SYSTEM behörighet på fullt uppdaterade Windows 10 och 11 system [2][5]. Nollan publicerades bara timmar efter Microsofts junipatch, som åtgärdade 200 sårbarheter – däribland tre zero days och två tidigare offentliggjorda Defender fel [2][4][6].
What should I do next in practice?
Det är det sjunde offentliga zero day släppet från Nightmare Eclipse sedan april 2026, efter en långvarig tvist om hur Microsoft hanterat tidigare rapporter [3][8].
RoguePlanet är en så kallad lokal behörighetseskalering, eller LPE. Det betyder att angriparen först måste ha någon form av begränsad åtkomst till datorn. Därefter försöker exploiten utnyttja en så kallad race condition – en tidskänslig situation där två händelser sker i fel ordning .
När Defender upptäcker en fil som bedöms vara skadlig kan programmet försöka sätta filen i karantän eller radera den. Enligt de tekniska beskrivningarna kontrollerar Defender filsökvägen innan åtgärden, men gör inte en ny kontroll precis när skrivningen utförs. Under det korta tidsfönstret kan sökvägen därför styras om .
I ett lyckat angrepp kan Defender förmås att skriva över legitima filer eller köra kod med SYSTEM-behörighet . Det ger i praktiken omfattande kontroll över datorn.
Exploiten är dock inte stabil. Nightmare Eclipse har beskrivit den som "a hit or miss" – ungefär att den fungerar ibland och ibland inte – och uppgett att den lyckats varje gång på vissa maskiner men misslyckats helt på andra . Säkerhetsföretaget ThreatLocker har samtidigt sagt att det lyckades återskapa angreppet på system som hade fått samtliga uppdateringar från juni 2026 .
En nolla som släpptes på Microsofts stora patchdag
Microsofts uppdateringar den 9–10 juni 2026 omfattade 200 sårbarheter, vilket gjorde juniversionen till företagets största Patch Tuesday hittills. Paketet innehöll även tre zero-days och åtgärdade två tidigare offentliggjorda sårbarheter i Defender .
Rapid7 noterade att tre av de offentligt kända sårbarheterna i uppdateringen var kopplade till den pågående konflikten med Nightmare Eclipse . När RoguePlanet publicerades bara timmar efter att uppdateringarna börjat rullas ut blev budskapet tydligt: en stor patch kan täppa till gamla hål, men säger inte nödvändigtvis något om ännu okända brister .
RoguePlanet är dessutom nära besläktad med tidigare forskning om Defender. BlueHammer, som spåras som CVE-2026-33825, byggde också på en TOCTOU-kapplöpning – ”time of check to time of use” – i Defenders hantering av hot .
Den långvariga konflikten med Nightmare Eclipse
RoguePlanet är det sjunde zero-day-släppet som tillskrivs Nightmare Eclipse sedan april 2026 . Forskaren har även använt namnen Chaotic Eclipse och MSNightmare.
Forskarens version
Nightmare Eclipse hävdar att flera sårbarheter först rapporterades via Microsofts officiella MSRC-portal, Microsoft Security Response Center. Enligt forskaren ignorerades rapporterna, stängdes utan tydliga förklaringar eller bemöttes avfärdande .
Forskaren har också hävdat att Microsoft stängde av konton på GitHub, GitLab och MSRC-portalen, vilket i praktiken tog bort de officiella kanalerna för fortsatt rapportering . Efter det började fullständiga zero-day-detaljer och fungerande proof-of-concept-kod publiceras öppet .
De sex tidigare offentliggjorda sårbarheterna var:
BlueHammer (CVE-2026-33825), en Defender-brist för lokal behörighetseskalering
RedSun (CVE-2026-41091), ytterligare en LPE-sårbarhet i Defender
UnDefend (CVE-2026-45498), ännu en sårbarhet i Defender
YellowKey, GreenPlasma och MiniPlasma, som påverkade bland annat BitLocker och CTF
I slutet av maj uppgavs BlueHammer, RedSun och UnDefend aktivt utnyttjas i attacker. De lades också till i USA:s myndighet CISA:s katalog över kända exploaterade sårbarheter .
Microsofts svar – och den efterföljande reträtten
Microsoft kallade de samordningslösa offentliggörandena ”oansvariga” och varnade för att de utsatte kunder för risk innan korrigeringar eller skyddsåtgärder fanns tillgängliga . I slutet av maj skärpte företaget tonen ytterligare genom att hota med att hänvisa ärendet till brottsutredande myndigheter .
Det väckte kritik i säkerhetsbranschen. Kritiker menade att Microsofts påstådda hantering av de ursprungliga rapporterna – inklusive stängda ärenden och avstängda konton – hade bidragit till att konflikten hamnade offentligt .
Efter reaktionerna ändrade Microsoft tonläge. Den 2 juni uppgav företaget att det inte hade ”för avsikt att vidta åtgärder mot personer som bedriver eller publicerar säkerhetsforskning” .
Men konflikten var då redan etablerad. Den 28 maj hade Nightmare Eclipse lovat ett ”bone shattering”-släpp på Patch Tuesday . RoguePlanet kom sedan som utlovat, och visade att även ett system som nyss har patchats kan påverkas av en ny, ännu olöst brist i en central säkerhetskomponent .
Vad organisationer bör ta med sig
RoguePlanet visar inte att Windows-uppdateringar är meningslösa – patchning är fortfarande en grundläggande försvarsåtgärd. Däremot illustrerar fallet varför en installerad Patch Tuesday inte bör betraktas som en fullständig säkerhetsgräns.
Försvarare behöver även begränsa lokal åtkomst, övervaka misstänkta processer och följa nya säkerhetsmeddelanden från Microsoft och säkerhetsbranschen. Så länge RoguePlanet saknar en korrigering är den viktigaste slutsatsen att ett fullt uppdaterat system inte automatiskt är immunt mot nya sårbarheter i Defender .
dmc-central.comTwo Unpatched and Actively Exploited (April 2026) - DMC
RoguePlanet är en så kallad lokal behörighetseskalering, eller LPE. Det betyder att angriparen först måste ha någon form av begränsad åtkomst till datorn. Därefter försöker exploiten utnyttja en så kallad race condition – en tidskänslig situation där två händelser sker i fel ordning .
När Defender upptäcker en fil som bedöms vara skadlig kan programmet försöka sätta filen i karantän eller radera den. Enligt de tekniska beskrivningarna kontrollerar Defender filsökvägen innan åtgärden, men gör inte en ny kontroll precis när skrivningen utförs. Under det korta tidsfönstret kan sökvägen därför styras om .
I ett lyckat angrepp kan Defender förmås att skriva över legitima filer eller köra kod med SYSTEM-behörighet . Det ger i praktiken omfattande kontroll över datorn.
Exploiten är dock inte stabil. Nightmare Eclipse har beskrivit den som "a hit or miss" – ungefär att den fungerar ibland och ibland inte – och uppgett att den lyckats varje gång på vissa maskiner men misslyckats helt på andra . Säkerhetsföretaget ThreatLocker har samtidigt sagt att det lyckades återskapa angreppet på system som hade fått samtliga uppdateringar från juni 2026 .
En nolla som släpptes på Microsofts stora patchdag
Microsofts uppdateringar den 9–10 juni 2026 omfattade 200 sårbarheter, vilket gjorde juniversionen till företagets största Patch Tuesday hittills. Paketet innehöll även tre zero-days och åtgärdade två tidigare offentliggjorda sårbarheter i Defender .
Rapid7 noterade att tre av de offentligt kända sårbarheterna i uppdateringen var kopplade till den pågående konflikten med Nightmare Eclipse . När RoguePlanet publicerades bara timmar efter att uppdateringarna börjat rullas ut blev budskapet tydligt: en stor patch kan täppa till gamla hål, men säger inte nödvändigtvis något om ännu okända brister .
RoguePlanet är dessutom nära besläktad med tidigare forskning om Defender. BlueHammer, som spåras som CVE-2026-33825, byggde också på en TOCTOU-kapplöpning – ”time of check to time of use” – i Defenders hantering av hot .
Den långvariga konflikten med Nightmare Eclipse
RoguePlanet är det sjunde zero-day-släppet som tillskrivs Nightmare Eclipse sedan april 2026 . Forskaren har även använt namnen Chaotic Eclipse och MSNightmare.
Forskarens version
Nightmare Eclipse hävdar att flera sårbarheter först rapporterades via Microsofts officiella MSRC-portal, Microsoft Security Response Center. Enligt forskaren ignorerades rapporterna, stängdes utan tydliga förklaringar eller bemöttes avfärdande .
Forskaren har också hävdat att Microsoft stängde av konton på GitHub, GitLab och MSRC-portalen, vilket i praktiken tog bort de officiella kanalerna för fortsatt rapportering . Efter det började fullständiga zero-day-detaljer och fungerande proof-of-concept-kod publiceras öppet .
De sex tidigare offentliggjorda sårbarheterna var:
BlueHammer (CVE-2026-33825), en Defender-brist för lokal behörighetseskalering
RedSun (CVE-2026-41091), ytterligare en LPE-sårbarhet i Defender
UnDefend (CVE-2026-45498), ännu en sårbarhet i Defender
YellowKey, GreenPlasma och MiniPlasma, som påverkade bland annat BitLocker och CTF
I slutet av maj uppgavs BlueHammer, RedSun och UnDefend aktivt utnyttjas i attacker. De lades också till i USA:s myndighet CISA:s katalog över kända exploaterade sårbarheter .
Microsofts svar – och den efterföljande reträtten
Microsoft kallade de samordningslösa offentliggörandena ”oansvariga” och varnade för att de utsatte kunder för risk innan korrigeringar eller skyddsåtgärder fanns tillgängliga . I slutet av maj skärpte företaget tonen ytterligare genom att hota med att hänvisa ärendet till brottsutredande myndigheter .
Det väckte kritik i säkerhetsbranschen. Kritiker menade att Microsofts påstådda hantering av de ursprungliga rapporterna – inklusive stängda ärenden och avstängda konton – hade bidragit till att konflikten hamnade offentligt .
Efter reaktionerna ändrade Microsoft tonläge. Den 2 juni uppgav företaget att det inte hade ”för avsikt att vidta åtgärder mot personer som bedriver eller publicerar säkerhetsforskning” .
Men konflikten var då redan etablerad. Den 28 maj hade Nightmare Eclipse lovat ett ”bone shattering”-släpp på Patch Tuesday . RoguePlanet kom sedan som utlovat, och visade att även ett system som nyss har patchats kan påverkas av en ny, ännu olöst brist i en central säkerhetskomponent .
Vad organisationer bör ta med sig
RoguePlanet visar inte att Windows-uppdateringar är meningslösa – patchning är fortfarande en grundläggande försvarsåtgärd. Däremot illustrerar fallet varför en installerad Patch Tuesday inte bör betraktas som en fullständig säkerhetsgräns.
Försvarare behöver även begränsa lokal åtkomst, övervaka misstänkta processer och följa nya säkerhetsmeddelanden från Microsoft och säkerhetsbranschen. Så länge RoguePlanet saknar en korrigering är den viktigaste slutsatsen att ett fullt uppdaterat system inte automatiskt är immunt mot nya sårbarheter i Defender .
dmc-central.comTwo Unpatched and Actively Exploited (April 2026) - DMC
bleepingcomputer.comMicrosoft Defender 'RoguePlanet' zero-day grants SYSTEM privileges
news.livedoor.comMicrosoft Defenderの新たなゼロデイ脆弱性「RoguePlanet」、2026年6月10日のWindows Updateのパッチを全て当てた状態でも攻撃されてしまう結果に
ad-hoc-news.deRoguePlanet: Zero-Day-Exploit für Defender am Patch-Tag ...
gigazine.netA new zero-day vulnerability in Microsoft Defender ...
