RoguePlanet (CVE-2026-50656): Microsoft Defender’da SYSTEM Yetkisi Veren Yamasız Sıfır Gün Açığı

RoguePlanet (CVE-2026-50656) nedir?

RoguePlanet, Microsoft Defender Antivirus’un temel tarama ve düzeltme bileşeni olan Microsoft Malware Protection Engine’de (MsMpEng) bulunan yerel ayrıcalık yükseltme (EoP) türünde bir sıfır gün açığıdır ^CL.

Açık, Windows 10 ve Windows 11’in Home, Pro, Enterprise ve LTSC sürümlerini etkiliyor. Haziran 2026 Yama Salısı güncellemeleri (KB5094126) uygulanmış sistemler de açığa karşı korunmuş sayılmıyor ^L. Saldırının gerçekleşmesi için saldırganın makineye yerel erişimi ve standart kullanıcı hesabı olması yeterli; ek yönetici ayrıcalığı veya kullanıcı etkileşimi gerekmiyor ^KC.

Açık nasıl çalışıyor?

RoguePlanet’in temelinde Time-of-Check to Time-of-Use (TOCTOU) adı verilen bir yarış koşulu bulunuyor. Türkçede kabaca “kontrol zamanı ile kullanım zamanı arasındaki yarış” olarak açıklanabilecek bu teknikte, bir dosyanın kontrol edildiği an ile gerçekten kullanıldığı an arasındaki küçük zaman farkı hedefleniyor ^GP. Açık aynı zamanda dosya erişiminden önce bağlantının hatalı çözümlenmesiyle ilişkilendirilen CWE-59 sınıfına giriyor ^GP.

İstismar zincirinin özeti şöyle:

• Düşük ayrıcalıklı kullanıcı, Defender motorunun inceleyeceği özel hazırlanmış bir sembolik bağlantı veya dosya oluşturuyor.
• Motor dosya yolunu kontrol ettikten sonra, saldırgan dosyayı motor kullanmadan hemen önce değiştiriyor. Araştırmacı, zamanlamayı daha güvenilir hâle getirmek için Windows’taki oplock mekanizmasından yararlanıyor ^PT.
• Böylece Defender’ın ayrıcalıklı dosya işlemi, saldırganın kontrol ettiği farklı bir konuma yönlendirilebiliyor.
• Microsoft Malware Protection Engine tasarım gereği NT AUTHORITY\SYSTEM hesabıyla çalıştığı için, başarılı istismar saldırgana SYSTEM yetkileriyle çalışan bir komut kabuğu sağlayabiliyor ^KL.

İstismar, Defender’ın gerçek zamanlı koruması açık veya kapalı olsa da çalışabildiği için yalnızca gerçek zamanlı taramayı devre dışı bırakmak etkili bir çözüm değil ^MI.

CVSS puanı ve risk seviyesi

Microsoft, açığa CVSS 3.1 üzerinden 7,8 (YÜKSEK) taban puan verdi. Şirket, oplock kullanımının zamanlama yarışını daha güvenilir hâle getirdiğini değerlendirerek saldırı karmaşıklığını “düşük” olarak sınıflandırıyor ^CL.

NVD ise aynı açık için saldırı karmaşıklığını “yüksek” kabul ediyor ve 7,0 (YÜKSEK) taban puanı listeliyor. Microsoft’un zamansal değerlendirmesinde puan 7,6 seviyesine çıkıyor ^CLM. Microsoft ayrıca açığı, istismar edilme olasılığını “Exploitation More Likely” yani “istismar edilmesi daha olası” şeklinde derecelendirdi ^KC.

Bu, internet üzerinden uzaktan herhangi bir kullanıcının doğrudan saldırabileceği bir açık değil. Ancak saldırganın makine üzerinde kod çalıştırabilmesi veya yerel oturum açabilmesi, standart kullanıcıdan SYSTEM seviyesine yükselmek için yeterli olabiliyor.

Kamuya açıklanma süreci

RoguePlanet’in kamuya açık çalışan istismar kodu, Microsoft’un Haziran 2026 Yama Salısı güncellemelerinden yalnızca birkaç saat sonra, 10 Haziran 2026’da yayımlandı ^CLF. Microsoft açığı 16 Haziran 2026’da CVE-2026-50656 kimliğiyle resmen kabul etti ve güvenlik güncellemesi üzerinde çalıştığını açıkladı ^NW.

Tarih	Gelişme
10 Haziran 2026	Çalışan kamuya açık istismar kodu, Haziran Yama Salısı’ndan birkaç saat sonra yayımlandı CLF.
16 Haziran 2026	Microsoft, CVE-2026-50656 için danışma metnini yayımladı ve açığı doğruladı NW.
16–19 Haziran 2026	NVD kaydı, Microsoft duyurusu ve güvenlik topluluğundaki kapsamlı analizler yayımlandı NM.
4–10 Temmuz 2026 itibarıyla	Yama yayımlanmadı; bant dışı güncelleme için bir takvim açıklanmadı CT.

İstismar kodunun yayımlanmasıyla Microsoft’un açığı kabul etmesi arasında yaklaşık altı gün vardı. Kaynakların Temmuz başı ve ortasına ilişkin değerlendirmelerine göre, kamuya açık istismarın üzerinden yaklaşık bir ay geçmesine rağmen kalıcı düzeltme henüz sunulmamıştı ^FT.

RoguePlanet’i kim keşfetti?

Açık, Nightmare Eclipse takma adını kullanan ve Chaotic Eclipse olarak da bilinen bir güvenlik araştırmacısı tarafından keşfedilip yayımlandı ^CTH.

RoguePlanet, araştırmacının Microsoft Defender’ı hedef alan devam eden kampanyasındaki yedinci istismar olarak tanımlanıyor. Daha önceki açıklamalar arasında BlueHammer, RedSun, UnDefend, YellowKey ve GreenPlasma gibi ayrıcalık yükseltme veya koruma atlatma açıkları yer alıyordu ^PD. TechRadar, RoguePlanet’i Defender’ın saldırı yüzeyine yönelik “süregelen bir araştırma kampanyasının” parçası olarak nitelendirdi ^H. ThreatLocker gibi üçüncü taraf ekiplerin yaptığı doğrulamalar da istismar zincirinin çalışabilirliğini destekledi ^T.

Yama gecikmesi neden eleştirildi?

Güvenlik topluluğunun tepkisinin merkezinde, her Windows kopyasıyla birlikte gelen Defender bileşeninde çalışan istismar kodunun kamuya açık olmasına rağmen hızlı bir düzeltme sunulmaması vardı.

• Red Hound, durumu şu sözlerle özetledi: “Windows’un her kopyasında bulunan antivirüs için çalışan bir istismar iki haftadan uzun süredir kamuya açık ve hâlâ yama yok” ^R.
• Cloud Security Alliance, kamuya açıklamadan dokuz gün sonra, 19 Haziran itibarıyla ne yama ne de bant dışı güncelleme takvimi duyurulduğunu belirterek bu süreyi, tüketici ve kurumsal Windows sistemlerinin tamamına yayılan bir açık için “alarm verici” olarak değerlendirdi ^L.
• cve.tools, 1 Temmuz’da, açıklamadan 21 gün sonra hâlâ yama bulunmadığını ve çekirdek bir güvenlik bileşenindeki kamuya açık sıfır gün için bu kadar uzun süreli maruziyetin alışılmadık olduğunu bildirdi ^C.
• Bazı analizlerde, işletim sisteminin son savunma katmanlarından biri olan Microsoft’un kendi antivirüs motorunun SYSTEM seviyesinde ele geçirmenin aracı hâline gelmesindeki çelişkiye dikkat çekildi ^MH.

Defender’ın Windows kurulumlarında varsayılan olarak etkin olması, açığın potansiyel etki alanını genişletiyor. Bu nedenle güvenlik ekipleri, işlevsel istismar kodu yayımlanmışken geçici bir bant dışı güncelleme sunulmamasını özellikle sorunlu buldu ^HFL.

Kuruluşlar yama gelene kadar ne yapmalı?

Yama yayımlandığında hızlıca uygulayın

Microsoft bir güvenlik güncellemesi yayımladığında, Microsoft Malware Protection Engine (MsMpEng) güncellemesi Windows Update veya Microsoft Update Catalog üzerinden dağıtılabilir ^W. Güvenlik ekipleri MSRC duyurusunu ve CVE kaydını düzenli olarak kontrol etmeli.

Kaynakların kapsadığı 10 Temmuz 2026 itibarıyla resmi bir düzeltme bulunmuyordu; Microsoft’un bant dışı güncelleme için kesin bir tarih açıklamadığı bildirildi ^NC.

Geçici önlemler

• Yerel kullanıcı hesaplarını sınırlandırın. Açık etkileşimli yerel oturum açmayı gerektirdiğinden, hassas sistemlerde standart kullanıcı hesaplarını ve fiziksel erişimi en aza indirin ^KL.
• AppLocker veya WDAC kullanın. Windows Defender Application Control (WDAC) ve AppLocker, yetkisiz çalıştırılabilir dosyaların, betiklerin ve güvenilmeyen PoC ikililerinin yürütülmesini engellemeye yardımcı olabilir ^LI.
• ASR kurallarını etkinleştirin. Attack Surface Reduction kuralları, kimlik bilgisi hırsızlığını ve güvenilmeyen süreçleri engellemeye yardımcı olabilir. Bununla birlikte bu kuralların TOCTOU yarış koşulunu doğrudan durduracağı garanti edilmemeli ^F.
• EDR izlemelerini güçlendirin. SYSTEM dışındaki süreçlerden gelen beklenmeyen sembolik bağlantı oluşturma işlemlerini ve olağandışı oplock kullanımını tespit edecek kurallar oluşturun ^LF.
• Uç noktalara erişimi kısıtlayın. Güvenilmeyen veya doğrulanmamış kullanıcıların Windows cihazlarında kod çalıştırmasını ve yerel oturum açmasını önlemek, yama bulunmadığı dönemdeki en güvenilir kontrollerden biri olarak öne çıkıyor ^KL.
• En az ayrıcalık ilkesini uygulayın. Standart kullanıcılara yerel yönetici hakları vermeyin. Ancak bunun RoguePlanet’i tek başına önlemeyeceğini unutmayın; açık, standart kullanıcıdan SYSTEM seviyesine yükselmeyi hedefliyor ^CL.

Bu önlemler kalıcı yamanın yerine geçmez. Microsoft güncellemesi yayımlandığında, test ve dağıtım süreçleri mümkün olan en kısa sürede tamamlanmalı.