Як RoguePlanet отримує права SYSTEM

RoguePlanet — це експлойт локального підвищення привілеїв, або LPE. Тобто зловмисник спочатку має отримати хоча б обмежений доступ до комп’ютера, а вже потім намагається підняти свої права до максимального рівня .

Атака спрямована на race condition — помилку, яка виникає, коли дві операції виконуються в невдалий для захисту момент. Під час обробки підозрілого файла Microsoft Defender перевіряє шлях до нього перед тим, як помістити файл у карантин або видалити його. Проблема полягає в тому, що безпосередньо перед записом Defender повторно не перевіряє цей шлях. Так виникає вузьке «вікно» для підміни цілі операції .

Якщо зловмиснику вдається виграти цю гонку, Defender може перезаписати власні легітимні файли або виконати довільний код. У результаті на машині можна запустити командний рядок із правами SYSTEM — найвищим рівнем доступу у Windows .

Водночас експлойт не є гарантовано стабільним. Nightmare Eclipse назвав його «лотереєю»: на одних комп’ютерах він нібито спрацьовує у 100% випадків, а на інших — не працює зовсім .

Ключові особливості RoguePlanet:

• Потрібен початковий доступ. Це не атака, яка автоматично захоплює віддалений комп’ютер без будь-якої взаємодії. Спершу зловмисник має опинитися на цільовій системі з низькими привілеями .
• Працездатність підтверджено незалежно. ThreatLocker відтворила експлойт на пристроях із повним набором червневих оновлень 2026 року .
• На момент розкриття виправлення не було. Вразливість стосувалася повністю пропатчених Windows 10 і Windows 11 .

Чому реліз припав саме на Patch Tuesday

Червневий випуск Microsoft мав продемонструвати масштабну відповідь на загрози: компанія виправила 200 проблем, зокрема вразливості BlueHammer і RedSun у Microsoft Defender, які раніше оприлюднив Nightmare Eclipse .

Rapid7 зазначила, що три публічно розкриті вразливості у червневому наборі були безпосередньо пов’язані з історією протистояння Microsoft і Nightmare Eclipse . Дослідник заздалегідь підігрівав очікування: 28 травня він пообіцяв опублікувати на Patch Tuesday «нищівний» zero-day .

RoguePlanet з’явився через кілька годин після того, як оновлення стали доступними. Сам момент релізу виглядав як демонстрація того, що навіть масштабне оновлення не усуває нову, ще не виправлену проблему в одному з ключових компонентів захисту Windows .

Сьомий zero-day у конфлікті з Microsoft

RoguePlanet став сьомою вразливістю, яку Nightmare Eclipse опублікував із квітня 2026 року. Дослідник також використовує псевдоніми Chaotic Eclipse і MSNightmare .

До цього були розкриті:

• BlueHammer (CVE-2026-33825) — race condition у Defender, що дає змогу підвищити локальні привілеї ;
• RedSun (CVE-2026-41091) — ще одна вразливість локального підвищення привілеїв у Defender ;
• UnDefend (CVE-2026-45498) — третя проблема в Defender ;
• YellowKey, GreenPlasma і MiniPlasma — вразливості, пов’язані з іншими компонентами Windows, зокрема BitLocker і CTF .

До кінця травня BlueHammer, RedSun і UnDefend уже використовувалися в реальних атаках. Агентство з кібербезпеки та інфраструктурної безпеки США (CISA) внесло їх до каталогу Known Exploited Vulnerabilities — переліку відомих вразливостей, які активно експлуатуються .

У чому полягали претензії дослідника

Nightmare Eclipse стверджує, що неодноразово надсилав звіти про вразливості через офіційний портал Microsoft Security Response Center (MSRC). За словами дослідника, частину звернень ігнорували, інші закривали без пояснень або супроводжували зневажливими відповідями .

Також він заявляє, що Microsoft заблокувала його облікові записи в GitHub, GitLab і на порталі MSRC, фактично перекривши офіційні канали для подальшого повідомлення про помилки . Після цього дослідник почав публікувати повні zero-day-експлойти, у деяких випадках — із працездатним proof-of-concept-кодом .

Ці твердження є позицією самого дослідника. Вони стали основою публічного конфлікту, але не змінюють практичного ризику: оприлюднення робочого коду до появи виправлення скорочує час, який захисники мають на підготовку до атак.

Як відповіла Microsoft

Microsoft назвала неузгоджене розкриття вразливостей «безвідповідальним» і заявила, що публікація технічних деталей та proof-of-concept-коду створює для клієнтів значний ризик до появи патчів .

Наприкінці травня компанія також допустила передання справи правоохоронцям для кримінального розслідування. Це викликало різку реакцію частини фахівців із кібербезпеки: критики вважали, що саме проблеми з опрацюванням початкових звітів і блокування каналів комунікації підштовхнули дослідника до публікацій .

Під тиском спільноти Microsoft 2 червня змінила тон заяв. Компанія повідомила, що «не має наміру переслідувати осіб, які проводять або публікують дослідження у сфері безпеки» . Однак до цього моменту шість попередніх zero-day уже були оприлюднені, а RoguePlanet став новою ескалацією конфлікту.

Що це означає для користувачів і адміністраторів

RoguePlanet не скасовує необхідність встановлювати оновлення Windows. Навпаки, червневі патчі закрили сотні інших вразливостей, а раніше розкриті проблеми Defender потребували негайного виправлення .

Але ця історія показує межі підходу «встановив Patch Tuesday — і питання закрите». Оскільки RoguePlanet потребує локального початкового доступу, особливу увагу варто приділяти контролю облікових записів, обмеженню локальних привілеїв, моніторингу підозрілої активності Defender і захисту корпоративних SMB-ресурсів.

На ширшому рівні RoguePlanet став результатом зламаного процесу розкриття вразливостей. Для Microsoft це чергове нагадування про важливість робочого каналу комунікації з дослідниками, а для захисників — сигнал, що навіть повністю оновлена система не завжди є завершеною гарантією безпеки, якщо нова помилка ще не має виправлення.

Як RoguePlanet отримує права SYSTEM

RoguePlanet — це експлойт локального підвищення привілеїв, або LPE. Тобто зловмисник спочатку має отримати хоча б обмежений доступ до комп’ютера, а вже потім намагається підняти свої права до максимального рівня .

Атака спрямована на race condition — помилку, яка виникає, коли дві операції виконуються в невдалий для захисту момент. Під час обробки підозрілого файла Microsoft Defender перевіряє шлях до нього перед тим, як помістити файл у карантин або видалити його. Проблема полягає в тому, що безпосередньо перед записом Defender повторно не перевіряє цей шлях. Так виникає вузьке «вікно» для підміни цілі операції .

Якщо зловмиснику вдається виграти цю гонку, Defender може перезаписати власні легітимні файли або виконати довільний код. У результаті на машині можна запустити командний рядок із правами SYSTEM — найвищим рівнем доступу у Windows .

Водночас експлойт не є гарантовано стабільним. Nightmare Eclipse назвав його «лотереєю»: на одних комп’ютерах він нібито спрацьовує у 100% випадків, а на інших — не працює зовсім .

Ключові особливості RoguePlanet:

• Потрібен початковий доступ. Це не атака, яка автоматично захоплює віддалений комп’ютер без будь-якої взаємодії. Спершу зловмисник має опинитися на цільовій системі з низькими привілеями .
• Працездатність підтверджено незалежно. ThreatLocker відтворила експлойт на пристроях із повним набором червневих оновлень 2026 року .
• На момент розкриття виправлення не було. Вразливість стосувалася повністю пропатчених Windows 10 і Windows 11 .

Чому реліз припав саме на Patch Tuesday

Червневий випуск Microsoft мав продемонструвати масштабну відповідь на загрози: компанія виправила 200 проблем, зокрема вразливості BlueHammer і RedSun у Microsoft Defender, які раніше оприлюднив Nightmare Eclipse .

Rapid7 зазначила, що три публічно розкриті вразливості у червневому наборі були безпосередньо пов’язані з історією протистояння Microsoft і Nightmare Eclipse . Дослідник заздалегідь підігрівав очікування: 28 травня він пообіцяв опублікувати на Patch Tuesday «нищівний» zero-day .

RoguePlanet з’явився через кілька годин після того, як оновлення стали доступними. Сам момент релізу виглядав як демонстрація того, що навіть масштабне оновлення не усуває нову, ще не виправлену проблему в одному з ключових компонентів захисту Windows .

Сьомий zero-day у конфлікті з Microsoft

RoguePlanet став сьомою вразливістю, яку Nightmare Eclipse опублікував із квітня 2026 року. Дослідник також використовує псевдоніми Chaotic Eclipse і MSNightmare .

До цього були розкриті:

• BlueHammer (CVE-2026-33825) — race condition у Defender, що дає змогу підвищити локальні привілеї ;
• RedSun (CVE-2026-41091) — ще одна вразливість локального підвищення привілеїв у Defender ;
• UnDefend (CVE-2026-45498) — третя проблема в Defender ;
• YellowKey, GreenPlasma і MiniPlasma — вразливості, пов’язані з іншими компонентами Windows, зокрема BitLocker і CTF .

До кінця травня BlueHammer, RedSun і UnDefend уже використовувалися в реальних атаках. Агентство з кібербезпеки та інфраструктурної безпеки США (CISA) внесло їх до каталогу Known Exploited Vulnerabilities — переліку відомих вразливостей, які активно експлуатуються .

У чому полягали претензії дослідника

Nightmare Eclipse стверджує, що неодноразово надсилав звіти про вразливості через офіційний портал Microsoft Security Response Center (MSRC). За словами дослідника, частину звернень ігнорували, інші закривали без пояснень або супроводжували зневажливими відповідями .

Також він заявляє, що Microsoft заблокувала його облікові записи в GitHub, GitLab і на порталі MSRC, фактично перекривши офіційні канали для подальшого повідомлення про помилки . Після цього дослідник почав публікувати повні zero-day-експлойти, у деяких випадках — із працездатним proof-of-concept-кодом .

Ці твердження є позицією самого дослідника. Вони стали основою публічного конфлікту, але не змінюють практичного ризику: оприлюднення робочого коду до появи виправлення скорочує час, який захисники мають на підготовку до атак.

Як відповіла Microsoft

Microsoft назвала неузгоджене розкриття вразливостей «безвідповідальним» і заявила, що публікація технічних деталей та proof-of-concept-коду створює для клієнтів значний ризик до появи патчів .

Наприкінці травня компанія також допустила передання справи правоохоронцям для кримінального розслідування. Це викликало різку реакцію частини фахівців із кібербезпеки: критики вважали, що саме проблеми з опрацюванням початкових звітів і блокування каналів комунікації підштовхнули дослідника до публікацій .

Під тиском спільноти Microsoft 2 червня змінила тон заяв. Компанія повідомила, що «не має наміру переслідувати осіб, які проводять або публікують дослідження у сфері безпеки» . Однак до цього моменту шість попередніх zero-day уже були оприлюднені, а RoguePlanet став новою ескалацією конфлікту.

Що це означає для користувачів і адміністраторів

RoguePlanet не скасовує необхідність встановлювати оновлення Windows. Навпаки, червневі патчі закрили сотні інших вразливостей, а раніше розкриті проблеми Defender потребували негайного виправлення .

Але ця історія показує межі підходу «встановив Patch Tuesday — і питання закрите». Оскільки RoguePlanet потребує локального початкового доступу, особливу увагу варто приділяти контролю облікових записів, обмеженню локальних привілеїв, моніторингу підозрілої активності Defender і захисту корпоративних SMB-ресурсів.

На ширшому рівні RoguePlanet став результатом зламаного процесу розкриття вразливостей. Для Microsoft це чергове нагадування про важливість робочого каналу комунікації з дослідниками, а для захисників — сигнал, що навіть повністю оновлена система не завжди є завершеною гарантією безпеки, якщо нова помилка ще не має виправлення.