RoguePlanet ne yapıyor?

RoguePlanet, bir yerel ayrıcalık yükseltme (LPE) açığı. Bu tür açıklar, saldırganın hedef bilgisayarda başlangıçta düşük ayrıcalıklı bir erişime zaten sahip olmasını gerektirir; tek başına uzaktan, herhangi bir erişim olmadan sisteme girmeyi sağlamaz .

Açığın hedefinde Microsoft Defender’ın kötü amaçlı dosyaları karantinaya alma veya silme işlemi bulunuyor. Özellikle uzak bir SMB sunucusunda barındırılan dosyalar söz konusu olduğunda Defender, işlem yapmadan önce dosya yolunu kontrol ediyor. Sorun ise bu yolun yazma işlemi gerçekleştiği anda yeniden doğrulanmaması. Saldırgan, bu dar zaman aralığından yararlanarak Defender’ın işlem yapacağı dosya yolunu değiştirebiliyor .

İstismar başarılı olduğunda Defender, kendi meşru dosyalarının üzerine yazmaya veya saldırganın seçtiği kodu çalıştırmaya yönlendirilebiliyor. Bu da en yüksek Windows ayrıcalık düzeylerinden biri olan SYSTEM yetkileriyle bir komut isteminin başlatılmasına kadar ilerleyebiliyor .

Açığın öne çıkan özellikleri

• Önceden erişim gerekiyor: Saldırganın hedef cihazda düşük ayrıcalıklı bir kullanıcı oturumu açabilmesi gerekiyor .
• Güvenilirliği değişken: Nightmare Eclipse, istismarı “ya tutuyor ya tutmuyor” şeklinde tanımladı. Bazı makinelerde yüzde 100 başarı bildirilirken bazı sistemlerde tamamen başarısız olduğu aktarıldı .
• Bağımsız doğrulama yapıldı: Güvenlik şirketi ThreatLocker, Haziran 2026 güncellemeleri uygulanmış sistemlerde RoguePlanet’i yeniden üretebildiğini bildirdi .
• Açıklama sırasında yama yoktu: Bildirimlerin yapıldığı tarihte açık, tamamen güncel Windows 10 ve Windows 11 sistemlerini etkiliyor ve buna yönelik bir düzeltme bulunmuyordu .

RoguePlanet’in kullandığı yaklaşım, Nightmare Eclipse’in daha önce yayımladığı BlueHammer (CVE-2026-33825) gibi Defender açıklarını hatırlatıyor. BlueHammer’da da Defender’ın dosya düzeltme sürecindeki “kontrol zamanı ile kullanım zamanı arasındaki” (TOCTOU) yarış koşulundan yararlanılıyordu .

Patch Tuesday neden gölgede kaldı?

Microsoft’un Haziran 2026 Patch Tuesday paketi 200 güvenlik açığını ele aldı; bu açıkların üçü sıfırıncı gün olarak kamuoyunca biliniyordu. Güncelleme, daha önce Nightmare Eclipse tarafından açıklanan BlueHammer ve RedSun adlı iki Defender açığı için de düzeltmeler içeriyordu . Rapid7, haziran paketindeki kamuya açık üç açığın Nightmare Eclipse etrafındaki sürece doğrudan bağlı olduğunu belirtti .

Araştırmacı, 28 Mayıs’ta Patch Tuesday günü “kemik kıracak” bir sıfırıncı gün yayını yapacağını duyurmuştu . RoguePlanet’in güncellemeler kullanıma açıldıktan birkaç saat sonra yayımlanması, bu sözün doğrudan karşılığı olarak yorumlandı . Mesaj açıktı: Microsoft çok büyük bir yama paketi yayımlamış olsa da Defender’ın henüz düzeltilmemiş başka bir yarış koşulu açığı bulunuyordu.

Nightmare Eclipse ile Microsoft arasındaki anlaşmazlık

RoguePlanet, tek başına gerçekleşen bir güvenlik araştırması değil; Nisan 2026’dan bu yana büyüyen ve kişisel bir boyut kazanan anlaşmazlığın son halkası. Nightmare Eclipse; Chaotic Eclipse ve MSNightmare adlarını da kullanıyor ve RoguePlanet’den önce altı Windows sıfırıncı gün açığını kamuoyuna açıkladı .

Araştırmacının iddiaları

Araştırmacı, Microsoft’un resmi güvenlik bildirim kanalı olan MSRC’ye (Microsoft Security Response Center) birçok açık raporu gönderdiğini, ancak bunların görmezden gelindiğini, açıklama yapılmadan kapatıldığını veya küçümseyici yanıtlarla karşılandığını öne sürüyor . Ayrıca GitHub, GitLab ve MSRC portalındaki hesaplarının Microsoft tarafından devre dışı bırakıldığını iddia ediyor .

Resmi bildirim kanallarına erişimini kaybettiğini ve kamuoyu önünde küçük düşürüldüğünü söyleyen araştırmacı, bunun ardından açıkları Microsoft’la koordine etmeden yayımlamaya başladı. Bazı paylaşımlarda, saldırının nasıl gerçekleştirileceğini gösteren işlevsel kanıt kodları da yer aldı .

RoguePlanet’den önce yayımlanan altı açık

• BlueHammer (CVE-2026-33825): Defender’daki bir yarış koşulu üzerinden yerel ayrıcalık yükseltme açığı
• RedSun (CVE-2026-41091): Bir başka Defender yerel ayrıcalık yükseltme açığı
• UnDefend (CVE-2026-45498): Defender’ı etkileyen üçüncü açık
• YellowKey, GreenPlasma ve MiniPlasma: BitLocker ve CTF gibi Windows bileşenlerini etkileyen açıklar

Mayıs sonuna gelindiğinde BlueHammer, RedSun ve UnDefend’in gerçek saldırılarda aktif olarak kullanıldığı doğrulandı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) da bu açıkları Bilinen İstismar Edilen Açıklar kataloğuna ekledi .

Microsoft’un tepkisi neden geri adım olarak görüldü?

Microsoft başlangıçta koordinasyonsuz açıklamaları sert biçimde eleştirdi. Şirket, açıkların yamalar veya azaltıcı önlemler hazır olmadan yayımlanmasının müşterileri ciddi riske attığını ve bu yaklaşımın güvenlik açıklarının koordineli bildirimine ilişkin yerleşik uygulamaları zayıflattığını söyledi .

Mayıs sonunda şirket, konuyu cezai soruşturma için kolluk kuvvetlerine taşıma ihtimalinden söz etti . Bu açıklama, güvenlik topluluğunun bir bölümünden tepki aldı. Eleştirmenler, araştırmacının ilk bildirimlerinin ele alınış biçiminin — raporların kapatılması ve hesapların devre dışı bırakılması iddialarının — kamuya açık istismar paylaşımlarının temel nedenlerinden biri olduğunu savundu .

Tepkinin ardından Microsoft 2 Haziran’da tonunu yumuşattı ve güvenlik araştırması yapan veya araştırma yayımlayan kişilere karşı işlem başlatma niyetinde olmadığını açıkladı . Ancak bu geri adım, RoguePlanet’in yayımlanmasını engellemedi.

Savunma ekipleri için anlamı

RoguePlanet’in en önemli sonucu, Windows güncellemelerinin gereksiz olduğu anlamına gelmiyor. Aksine, Haziran paketinin mümkün olan en kısa sürede uygulanması hâlâ kritik. Fakat olay, işletim sistemi güncel olsa bile çekirdek güvenlik bileşenlerindeki yeni ve henüz yamalanmamış açıkların ayrı bir risk oluşturabileceğini gösteriyor.

Savunma ekipleri açısından Patch Tuesday, tek başına eksiksiz bir güvenlik sınırı olarak görülmemeli. Özellikle daha önce ele geçirilmiş makinelerde düşük ayrıcalıklı hesaplar, Defender’ın dosya işlemleri ve uzak SMB kaynakları yakından izlenmeli; Microsoft’tan RoguePlanet için resmi bir düzeltme veya azaltıcı önlem gelene kadar uç nokta izleme ve erişim kısıtlamaları güçlendirilmeli.

RoguePlanet aynı zamanda koordineli güvenlik açığı bildirim sürecinin ne kadar önemli olduğunu ortaya koyuyor. Bir yanda yamalar hazır olmadan istismar kodunun yayımlanmasının müşterileri riske attığı yönündeki Microsoft itirazı, diğer yanda araştırmacının raporlarının karşılıksız kaldığı iddiası var. Şimdilik kesin olan nokta şu: Microsoft’un en büyük yama paketlerinden birinin hemen ardından yayımlanan bu açık, teknik bir güvenlik sorununu aşarak araştırmacılarla yazılım üreticileri arasındaki güven ilişkisinin de yeni bir sınavına dönüştü.

RoguePlanet ne yapıyor?

RoguePlanet, bir yerel ayrıcalık yükseltme (LPE) açığı. Bu tür açıklar, saldırganın hedef bilgisayarda başlangıçta düşük ayrıcalıklı bir erişime zaten sahip olmasını gerektirir; tek başına uzaktan, herhangi bir erişim olmadan sisteme girmeyi sağlamaz .

Açığın hedefinde Microsoft Defender’ın kötü amaçlı dosyaları karantinaya alma veya silme işlemi bulunuyor. Özellikle uzak bir SMB sunucusunda barındırılan dosyalar söz konusu olduğunda Defender, işlem yapmadan önce dosya yolunu kontrol ediyor. Sorun ise bu yolun yazma işlemi gerçekleştiği anda yeniden doğrulanmaması. Saldırgan, bu dar zaman aralığından yararlanarak Defender’ın işlem yapacağı dosya yolunu değiştirebiliyor .

İstismar başarılı olduğunda Defender, kendi meşru dosyalarının üzerine yazmaya veya saldırganın seçtiği kodu çalıştırmaya yönlendirilebiliyor. Bu da en yüksek Windows ayrıcalık düzeylerinden biri olan SYSTEM yetkileriyle bir komut isteminin başlatılmasına kadar ilerleyebiliyor .

Açığın öne çıkan özellikleri

• Önceden erişim gerekiyor: Saldırganın hedef cihazda düşük ayrıcalıklı bir kullanıcı oturumu açabilmesi gerekiyor .
• Güvenilirliği değişken: Nightmare Eclipse, istismarı “ya tutuyor ya tutmuyor” şeklinde tanımladı. Bazı makinelerde yüzde 100 başarı bildirilirken bazı sistemlerde tamamen başarısız olduğu aktarıldı .
• Bağımsız doğrulama yapıldı: Güvenlik şirketi ThreatLocker, Haziran 2026 güncellemeleri uygulanmış sistemlerde RoguePlanet’i yeniden üretebildiğini bildirdi .
• Açıklama sırasında yama yoktu: Bildirimlerin yapıldığı tarihte açık, tamamen güncel Windows 10 ve Windows 11 sistemlerini etkiliyor ve buna yönelik bir düzeltme bulunmuyordu .

RoguePlanet’in kullandığı yaklaşım, Nightmare Eclipse’in daha önce yayımladığı BlueHammer (CVE-2026-33825) gibi Defender açıklarını hatırlatıyor. BlueHammer’da da Defender’ın dosya düzeltme sürecindeki “kontrol zamanı ile kullanım zamanı arasındaki” (TOCTOU) yarış koşulundan yararlanılıyordu .

Patch Tuesday neden gölgede kaldı?

Microsoft’un Haziran 2026 Patch Tuesday paketi 200 güvenlik açığını ele aldı; bu açıkların üçü sıfırıncı gün olarak kamuoyunca biliniyordu. Güncelleme, daha önce Nightmare Eclipse tarafından açıklanan BlueHammer ve RedSun adlı iki Defender açığı için de düzeltmeler içeriyordu . Rapid7, haziran paketindeki kamuya açık üç açığın Nightmare Eclipse etrafındaki sürece doğrudan bağlı olduğunu belirtti .

Araştırmacı, 28 Mayıs’ta Patch Tuesday günü “kemik kıracak” bir sıfırıncı gün yayını yapacağını duyurmuştu . RoguePlanet’in güncellemeler kullanıma açıldıktan birkaç saat sonra yayımlanması, bu sözün doğrudan karşılığı olarak yorumlandı . Mesaj açıktı: Microsoft çok büyük bir yama paketi yayımlamış olsa da Defender’ın henüz düzeltilmemiş başka bir yarış koşulu açığı bulunuyordu.

Nightmare Eclipse ile Microsoft arasındaki anlaşmazlık

RoguePlanet, tek başına gerçekleşen bir güvenlik araştırması değil; Nisan 2026’dan bu yana büyüyen ve kişisel bir boyut kazanan anlaşmazlığın son halkası. Nightmare Eclipse; Chaotic Eclipse ve MSNightmare adlarını da kullanıyor ve RoguePlanet’den önce altı Windows sıfırıncı gün açığını kamuoyuna açıkladı .

Araştırmacının iddiaları

Araştırmacı, Microsoft’un resmi güvenlik bildirim kanalı olan MSRC’ye (Microsoft Security Response Center) birçok açık raporu gönderdiğini, ancak bunların görmezden gelindiğini, açıklama yapılmadan kapatıldığını veya küçümseyici yanıtlarla karşılandığını öne sürüyor . Ayrıca GitHub, GitLab ve MSRC portalındaki hesaplarının Microsoft tarafından devre dışı bırakıldığını iddia ediyor .

Resmi bildirim kanallarına erişimini kaybettiğini ve kamuoyu önünde küçük düşürüldüğünü söyleyen araştırmacı, bunun ardından açıkları Microsoft’la koordine etmeden yayımlamaya başladı. Bazı paylaşımlarda, saldırının nasıl gerçekleştirileceğini gösteren işlevsel kanıt kodları da yer aldı .

RoguePlanet’den önce yayımlanan altı açık

• BlueHammer (CVE-2026-33825): Defender’daki bir yarış koşulu üzerinden yerel ayrıcalık yükseltme açığı
• RedSun (CVE-2026-41091): Bir başka Defender yerel ayrıcalık yükseltme açığı
• UnDefend (CVE-2026-45498): Defender’ı etkileyen üçüncü açık
• YellowKey, GreenPlasma ve MiniPlasma: BitLocker ve CTF gibi Windows bileşenlerini etkileyen açıklar

Mayıs sonuna gelindiğinde BlueHammer, RedSun ve UnDefend’in gerçek saldırılarda aktif olarak kullanıldığı doğrulandı. ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA) da bu açıkları Bilinen İstismar Edilen Açıklar kataloğuna ekledi .

Microsoft’un tepkisi neden geri adım olarak görüldü?

Microsoft başlangıçta koordinasyonsuz açıklamaları sert biçimde eleştirdi. Şirket, açıkların yamalar veya azaltıcı önlemler hazır olmadan yayımlanmasının müşterileri ciddi riske attığını ve bu yaklaşımın güvenlik açıklarının koordineli bildirimine ilişkin yerleşik uygulamaları zayıflattığını söyledi .

Mayıs sonunda şirket, konuyu cezai soruşturma için kolluk kuvvetlerine taşıma ihtimalinden söz etti . Bu açıklama, güvenlik topluluğunun bir bölümünden tepki aldı. Eleştirmenler, araştırmacının ilk bildirimlerinin ele alınış biçiminin — raporların kapatılması ve hesapların devre dışı bırakılması iddialarının — kamuya açık istismar paylaşımlarının temel nedenlerinden biri olduğunu savundu .

Tepkinin ardından Microsoft 2 Haziran’da tonunu yumuşattı ve güvenlik araştırması yapan veya araştırma yayımlayan kişilere karşı işlem başlatma niyetinde olmadığını açıkladı . Ancak bu geri adım, RoguePlanet’in yayımlanmasını engellemedi.

Savunma ekipleri için anlamı

RoguePlanet’in en önemli sonucu, Windows güncellemelerinin gereksiz olduğu anlamına gelmiyor. Aksine, Haziran paketinin mümkün olan en kısa sürede uygulanması hâlâ kritik. Fakat olay, işletim sistemi güncel olsa bile çekirdek güvenlik bileşenlerindeki yeni ve henüz yamalanmamış açıkların ayrı bir risk oluşturabileceğini gösteriyor.

Savunma ekipleri açısından Patch Tuesday, tek başına eksiksiz bir güvenlik sınırı olarak görülmemeli. Özellikle daha önce ele geçirilmiş makinelerde düşük ayrıcalıklı hesaplar, Defender’ın dosya işlemleri ve uzak SMB kaynakları yakından izlenmeli; Microsoft’tan RoguePlanet için resmi bir düzeltme veya azaltıcı önlem gelene kadar uç nokta izleme ve erişim kısıtlamaları güçlendirilmeli.

RoguePlanet aynı zamanda koordineli güvenlik açığı bildirim sürecinin ne kadar önemli olduğunu ortaya koyuyor. Bir yanda yamalar hazır olmadan istismar kodunun yayımlanmasının müşterileri riske attığı yönündeki Microsoft itirazı, diğer yanda araştırmacının raporlarının karşılıksız kaldığı iddiası var. Şimdilik kesin olan nokta şu: Microsoft’un en büyük yama paketlerinden birinin hemen ardından yayımlanan bu açık, teknik bir güvenlik sorununu aşarak araştırmacılarla yazılım üreticileri arasındaki güven ilişkisinin de yeni bir sınavına dönüştü.