Як уразливість дає права SYSTEM

В основі RoguePlanet лежить TOCTOU race condition — помилка класу «Time-of-Check to Time-of-Use», тобто розрив між моментом перевірки об’єкта та моментом його фактичного використання. Уразливість також пов’язана з некоректним розв’язанням посилань перед доступом до файлу — CWE-59 .

Microsoft Malware Protection Engine працює з правами NT AUTHORITY\SYSTEM. Експлуатація побудована на тому, щоб змусити цей привілейований компонент використати інший файл або шлях, ніж той, який він перевірив:

• користувач із низькими привілеями створює спеціально підготовлений файл або символічне посилання;
• рушій Defender перевіряє об’єкт, після чого атакувальник підміняє його до моменту фактичної операції;
• за допомогою механізму oplock зловмисник може точніше контролювати час підміни;
• якщо перегони виграно, файлова операція рушія перенаправляється до довільного каталогу, зокрема такого, яким керує атакувальник .

У результаті компонент, що працює від імені SYSTEM, виконує привілейовану операцію — наприклад, записує або запускає файл у вибраному місці. Публічний proof-of-concept демонструє отримання командної оболонки з правами SYSTEM .

Це локальна атака: зловмисник не отримує доступ до комп’ютера через мережу лише завдяки цій уразливості, а спочатку має запустити код на самій системі. Водночас вимкнення захисту в реальному часі не є надійним вирішенням: за даними дослідників, експлойт працює і за ввімкненого, і за вимкненого real-time protection .

Наскільки небезпечна CVE-2026-50656

Microsoft призначила RoguePlanet оцінку 7,8 із 10 — HIGH за CVSS 3.1. Компанія вважає складність атаки низькою, оскільки використання oplock робить потрібний момент перегонів більш передбачуваним .

NVD водночас наводить базову оцінку 7,0 — HIGH, визначаючи складність атаки як високу через технічні труднощі самої race condition. За оцінкою Microsoft, часовий показник уразливості становить 7,6 .

У власному Exploitability Index Microsoft позначила цю проблему як «Exploitation More Likely» — таку, експлуатація якої є більш імовірною . Водночас на момент опису в джерелах не було підтверджених випадків використання RoguePlanet у реальних атаках; відомо про функціональний публічний proof-of-concept .

Хронологія: експлойт з’явився раніше за офіційне визнання

Між публікацією експлойта 10 червня та офіційним визнанням Microsoft 16 червня минуло приблизно шість днів. На початку липня код експлуатації залишався у відкритому доступі вже близько місяця без виправлення .

Хто оприлюднив RoguePlanet

Уразливість знайшов і опублікував дослідник, який використовує псевдоніми Nightmare Eclipse та Chaotic Eclipse .

RoguePlanet називають сьомим експлойтом у його тривалій кампанії дослідження поверхні атаки Microsoft Defender. Раніше в межах цієї кампанії згадувалися проблеми під назвами BlueHammer, RedSun, UnDefend, YellowKey і GreenPlasma . TechRadar описав RoguePlanet як частину «тривалої дослідницької кампанії проти поверхні атаки Defender» .

Надійність ланцюжка експлуатації також перевіряли сторонні команди, зокрема ThreatLocker, які відтворили proof-of-concept .

Чому затримка з патчем викликала критику

Ситуація привернула особливу увагу через поєднання трьох обставин: уразливість міститься в антивірусному рушії, робочий код опубліковано відкрито, а проблема дає змогу піднятися від звичайного користувача до SYSTEM.

• Red Hound заявив, що робочий експлойт для антивіруса, який постачається з кожною копією Windows, був доступний понад два тижні, але виправлення все ще не було .
• Cloud Security Alliance станом на 19 червня, через дев’ять днів після публікації експлойта, не знайшла ані патча, ані графіка позапланового релізу та назвала таке вікно ризику «тривожним» для компонента, присутнього в системах споживачів і підприємств .
• За даними cve.tools, 1 липня — через 21 день після розкриття — виправлення все ще не існувало. Видання назвало таку тривалу експозицію нетиповою для публічно відомої zero-day-уразливості в ключовому компоненті безпеки .
• Дослідники окремо наголошували на парадоксі: власний антивірус Microsoft, покликаний захищати систему, стає шляхом до компрометації з правами SYSTEM. Затримка також породила питання щодо процесів реагування Microsoft на уразливості .

Оскільки Defender увімкнений за замовчуванням у Windows, потенційна поверхня атаки дуже широка. При цьому Microsoft не випустила проміжного out-of-band-оновлення, попри доступність функціонального коду експлуатації .

Що робити організаціям до виходу виправлення

Після появи патча

• Оновіть Microsoft Malware Protection Engine (MsMpEng) одразу після виходу безпекового оновлення.
• Перевірте доставку оновлення через Windows Update або Microsoft Update Catalog .
• Слідкуйте за карткою CVE та повідомленнями Microsoft Security Response Center (MSRC) щодо позапланового релізу .

Тимчасові заходи

Поки офіційного виправлення немає, організаціям варто:

• обмежити кількість локальних облікових записів і доступ до чутливих комп’ютерів — експлуатація потребує локального входу та виконання коду ;
• застосувати AppLocker або WDAC (Windows Defender Application Control), щоб блокувати запуск несанкціонованих програм, скриптів і неперевірених PoC-бінарників ;
• увімкнути правила ASR (Attack Surface Reduction) для блокування викрадення облікових даних і запуску недовірених процесів. Водночас ці правила не обов’язково безпосередньо зупинять TOCTOU-перегони ;
• налаштувати EDR-моніторинг створення символічних посилань не-SYSTEM-процесами та нетипового використання oplock — саме такі дії пов’язані з механізмом експлойта ;
• максимально обмежити фізичний і логічний доступ до кінцевих пристроїв для неперевірених користувачів. Це найнадійніший тимчасовий контроль, оскільки RoguePlanet потребує локального виконання коду ;
• дотримуватися моделі мінімально необхідних привілеїв і не надавати звичайним користувачам права локального адміністратора. Однак важливо розуміти: саме по собі вилучення адмінправ не блокує RoguePlanet, адже атака підвищує привілеї від рівня звичайного користувача до SYSTEM .

Висновок

RoguePlanet не є віддаленим проникненням «з одного кліка», але її небезпека полягає в іншому: звичайний локальний користувач може перетворити системний компонент Defender на інструмент отримання повного контролю над комп’ютером. Повністю встановлені оновлення Windows не усувають проблему, а доступність публічного експлойта робить контроль локального доступу, дозволених програм і підозрілих файлових операцій критично важливим до моменту виходу патча.

Як уразливість дає права SYSTEM

В основі RoguePlanet лежить TOCTOU race condition — помилка класу «Time-of-Check to Time-of-Use», тобто розрив між моментом перевірки об’єкта та моментом його фактичного використання. Уразливість також пов’язана з некоректним розв’язанням посилань перед доступом до файлу — CWE-59 .

Microsoft Malware Protection Engine працює з правами NT AUTHORITY\SYSTEM. Експлуатація побудована на тому, щоб змусити цей привілейований компонент використати інший файл або шлях, ніж той, який він перевірив:

• користувач із низькими привілеями створює спеціально підготовлений файл або символічне посилання;
• рушій Defender перевіряє об’єкт, після чого атакувальник підміняє його до моменту фактичної операції;
• за допомогою механізму oplock зловмисник може точніше контролювати час підміни;
• якщо перегони виграно, файлова операція рушія перенаправляється до довільного каталогу, зокрема такого, яким керує атакувальник .

У результаті компонент, що працює від імені SYSTEM, виконує привілейовану операцію — наприклад, записує або запускає файл у вибраному місці. Публічний proof-of-concept демонструє отримання командної оболонки з правами SYSTEM .

Це локальна атака: зловмисник не отримує доступ до комп’ютера через мережу лише завдяки цій уразливості, а спочатку має запустити код на самій системі. Водночас вимкнення захисту в реальному часі не є надійним вирішенням: за даними дослідників, експлойт працює і за ввімкненого, і за вимкненого real-time protection .

Наскільки небезпечна CVE-2026-50656

Microsoft призначила RoguePlanet оцінку 7,8 із 10 — HIGH за CVSS 3.1. Компанія вважає складність атаки низькою, оскільки використання oplock робить потрібний момент перегонів більш передбачуваним .

NVD водночас наводить базову оцінку 7,0 — HIGH, визначаючи складність атаки як високу через технічні труднощі самої race condition. За оцінкою Microsoft, часовий показник уразливості становить 7,6 .

У власному Exploitability Index Microsoft позначила цю проблему як «Exploitation More Likely» — таку, експлуатація якої є більш імовірною . Водночас на момент опису в джерелах не було підтверджених випадків використання RoguePlanet у реальних атаках; відомо про функціональний публічний proof-of-concept .

Хронологія: експлойт з’явився раніше за офіційне визнання

Між публікацією експлойта 10 червня та офіційним визнанням Microsoft 16 червня минуло приблизно шість днів. На початку липня код експлуатації залишався у відкритому доступі вже близько місяця без виправлення .

Хто оприлюднив RoguePlanet

Уразливість знайшов і опублікував дослідник, який використовує псевдоніми Nightmare Eclipse та Chaotic Eclipse .

RoguePlanet називають сьомим експлойтом у його тривалій кампанії дослідження поверхні атаки Microsoft Defender. Раніше в межах цієї кампанії згадувалися проблеми під назвами BlueHammer, RedSun, UnDefend, YellowKey і GreenPlasma . TechRadar описав RoguePlanet як частину «тривалої дослідницької кампанії проти поверхні атаки Defender» .

Надійність ланцюжка експлуатації також перевіряли сторонні команди, зокрема ThreatLocker, які відтворили proof-of-concept .

Чому затримка з патчем викликала критику

Ситуація привернула особливу увагу через поєднання трьох обставин: уразливість міститься в антивірусному рушії, робочий код опубліковано відкрито, а проблема дає змогу піднятися від звичайного користувача до SYSTEM.

• Red Hound заявив, що робочий експлойт для антивіруса, який постачається з кожною копією Windows, був доступний понад два тижні, але виправлення все ще не було .
• Cloud Security Alliance станом на 19 червня, через дев’ять днів після публікації експлойта, не знайшла ані патча, ані графіка позапланового релізу та назвала таке вікно ризику «тривожним» для компонента, присутнього в системах споживачів і підприємств .
• За даними cve.tools, 1 липня — через 21 день після розкриття — виправлення все ще не існувало. Видання назвало таку тривалу експозицію нетиповою для публічно відомої zero-day-уразливості в ключовому компоненті безпеки .
• Дослідники окремо наголошували на парадоксі: власний антивірус Microsoft, покликаний захищати систему, стає шляхом до компрометації з правами SYSTEM. Затримка також породила питання щодо процесів реагування Microsoft на уразливості .

Оскільки Defender увімкнений за замовчуванням у Windows, потенційна поверхня атаки дуже широка. При цьому Microsoft не випустила проміжного out-of-band-оновлення, попри доступність функціонального коду експлуатації .

Що робити організаціям до виходу виправлення

Після появи патча

• Оновіть Microsoft Malware Protection Engine (MsMpEng) одразу після виходу безпекового оновлення.
• Перевірте доставку оновлення через Windows Update або Microsoft Update Catalog .
• Слідкуйте за карткою CVE та повідомленнями Microsoft Security Response Center (MSRC) щодо позапланового релізу .

Тимчасові заходи

Поки офіційного виправлення немає, організаціям варто:

• обмежити кількість локальних облікових записів і доступ до чутливих комп’ютерів — експлуатація потребує локального входу та виконання коду ;
• застосувати AppLocker або WDAC (Windows Defender Application Control), щоб блокувати запуск несанкціонованих програм, скриптів і неперевірених PoC-бінарників ;
• увімкнути правила ASR (Attack Surface Reduction) для блокування викрадення облікових даних і запуску недовірених процесів. Водночас ці правила не обов’язково безпосередньо зупинять TOCTOU-перегони ;
• налаштувати EDR-моніторинг створення символічних посилань не-SYSTEM-процесами та нетипового використання oplock — саме такі дії пов’язані з механізмом експлойта ;
• максимально обмежити фізичний і логічний доступ до кінцевих пристроїв для неперевірених користувачів. Це найнадійніший тимчасовий контроль, оскільки RoguePlanet потребує локального виконання коду ;
• дотримуватися моделі мінімально необхідних привілеїв і не надавати звичайним користувачам права локального адміністратора. Однак важливо розуміти: саме по собі вилучення адмінправ не блокує RoguePlanet, адже атака підвищує привілеї від рівня звичайного користувача до SYSTEM .

Висновок

RoguePlanet не є віддаленим проникненням «з одного кліка», але її небезпека полягає в іншому: звичайний локальний користувач може перетворити системний компонент Defender на інструмент отримання повного контролю над комп’ютером. Повністю встановлені оновлення Windows не усувають проблему, а доступність публічного експлойта робить контроль локального доступу, дозволених програм і підозрілих файлових операцій критично важливим до моменту виходу патча.