Cách RoguePlanet giành quyền truy cập cấp SYSTEM

RoguePlanet là một exploit leo thang đặc quyền cục bộ (LPE) khai thác lỗ hổng race condition trong logic xử lý tập tin của Microsoft Defender . Khi Defender phát hiện một tập tin độc hại — đặc biệt là tập tin được lưu trữ trên máy chủ SMB từ xa — nó xác thực đường dẫn tập tin trước khi thực hiện hành động như cách ly hay xóa. Lỗ hổng tồn tại vì Defender không xác thực lại đường dẫn tại thời điểm thực hiện thao tác ghi, tạo ra một khoảng thời gian hẹp để khai thác .

Kẻ tấn công chiến thắng trong cuộc đua điều kiện này có thể điều hướng Defender ghi đè lên các tập tin hợp lệ của chính nó hoặc thực thi mã tùy ý, cuối cùng mở ra một dấu nhắc lệnh với đặc quyền SYSTEM . Điều này mang lại toàn quyền kiểm soát máy, nhưng cách tiếp cận có một hạn chế đáng kể. Nhà nghiên cứu mô tả exploit này vốn không đáng tin cậy, gọi nó là 'hên xui' và ghi nhận tỷ lệ thành công 100% trên một số máy nhưng thất bại hoàn toàn trên những máy khác .

Một số chi tiết kỹ thuật chính xác định mối đe dọa:

• Yêu cầu truy cập ban đầu: Kẻ tấn công phải có quyền truy cập thấp vào máy mục tiêu trước khi có thể cố gắng leo thang .
• Xác nhận độc lập: Công ty bảo mật ThreatLocker đã tái tạo thành công exploit trên các hệ thống đã áp dụng tất cả bản cập nhật tháng 6 năm 2026 .
• Chưa có bản sửa lỗi: Tại thời điểm tiết lộ, lỗ hổng ảnh hưởng đến Windows 10 và Windows 11 đã được vá đầy đủ, nhưng chưa có bản vá nào .

Kỹ thuật này là sự tiếp nối nghiên cứu được sử dụng trong các tiết lộ trước đó của Nightmare Eclipse, chẳng hạn như BlueHammer (CVE-2026-33825), cũng khai thác lỗ hổng race condition time-of-check to time-of-use (TOCTOU) trong quy trình xử lý của Defender .

Một Exploit Được Định Thời Gian Để Làm Lu Mờ Patch Tuesday

Bản Patch Tuesday tháng 6 năm 2026 của Microsoft đã giải quyết kỷ lục 200 lỗ hổng, bao gồm các bản sửa lỗi cho hai lỗi Defender — BlueHammer và RedSun — mà Nightmare Eclipse đã tiết lộ công khai trong những tháng trước đó . Quy mô của bản cập nhật nhằm báo hiệu một phản ứng bảo mật toàn diện.

Rapid7 lưu ý rằng ba trong số các lỗ hổng được tiết lộ công khai trong đợt tháng 6 có liên quan trực tiếp đến câu chuyện đang diễn ra với Nightmare Eclipse . Phản ứng của nhà nghiên cứu là ngay lập tức và mang tính kịch tính. Vào ngày 28 tháng 5, một bài đăng đã hứa hẹn một đợt thả zero-day 'vỡ xương' vào ngày Patch Tuesday . Việc tung ra RoguePlanet chỉ vài giờ sau khi các bản vá được phát hành là một tuyên bố trực tiếp rằng quy trình này là không đủ .

Cuộc Tranh Chấp Kéo Dài Nhiều Tháng Đằng Sau Exploit

Việc phát hành RoguePlanet không xảy ra một cách cô lập. Nó là zero-day thứ bảy được Nightmare Eclipse công bố kể từ tháng 4 năm 2026, mỗi lần đều leo thang một cuộc tranh chấp gay gắt với Microsoft đã lôi kéo cả cộng đồng bảo mật rộng lớn hơn .

Những Bất Bình Của Nhà Nghiên Cứu

Nightmare Eclipse, người cũng sử dụng các bút danh Chaotic Eclipse và MSNightmare, tuyên bố đã nhiều lần gửi báo cáo lỗi qua cổng MSRC chính thức của Microsoft, nhưng đều bị phớt lờ, đóng mà không có giải thích, hoặc bị trả lời một cách miệt thị . Nhà nghiên cứu cáo buộc thêm rằng Microsoft đã vô hiệu hóa các tài khoản GitHub, GitLab và MSRC của họ, cắt đứt mọi kênh báo cáo lỗi chính thức . Cảm thấy bị làm nhục trước công chúng và không còn lựa chọn, nhà nghiên cứu bắt đầu công bố toàn bộ exploit zero-day, bao gồm cả mã bằng chứng khái niệm chức năng .

Chuỗi Zero-Day Liên Hoàn

Trước RoguePlanet, sáu lỗ hổng đã được tiết lộ công khai, mỗi lỗi đều mở rộng phạm vi ảnh hưởng:

• BlueHammer (CVE-2026-33825) — Một lỗi race condition của Defender dẫn đến LPE
• RedSun (CVE-2026-41091) — Một lỗi LPE Defender khác
• UnDefend (CVE-2026-45498) — Lỗ hổng Defender thứ ba
• YellowKey, GreenPlasma, và MiniPlasma — Lỗi ảnh hưởng đến các thành phần bao gồm BitLocker và CTF

Vào cuối tháng 5, ba trong số này — BlueHammer, RedSun và UnDefend — đã được xác nhận là đang bị khai thác tích cực, và Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã thêm chúng vào danh mục các lỗ hổng đã biết đang bị khai thác .

Phản Ứng Leo Thang Và Sự Rút Lui Của Microsoft

Phản ứng ban đầu của Microsoft là mạnh mẽ. Công ty đã đăng một bài blog chỉ trích các tiết lộ không phối hợp là 'vô trách nhiệm' và cảnh báo rằng chúng khiến khách hàng gặp rủi ro đáng kể trước khi có bản vá . Tình hình leo thang vào cuối tháng 5 khi Microsoft đe dọa sẽ chuyển vụ việc cho cơ quan thực thi pháp luật để điều tra hình sự, một động thái ngay lập tức gây ra phản ứng dữ dội từ cộng đồng bảo mật .

Các nhà phê bình cho rằng việc Microsoft xử lý các báo cáo ban đầu — phớt lờ hoặc đóng chúng và thu hồi tài khoản của nhà nghiên cứu — là nguyên nhân gốc rễ của các tiết lộ công khai . Áp lực đã có tác động có thể đo lường được. Đến ngày 2 tháng 6, Microsoft đã công khai hạ nhiệt lập trường, đưa ra tuyên bố rằng họ 'không có ý định theo đuổi hành động chống lại các cá nhân tiến hành hoặc công bố nghiên cứu bảo mật' . Tuy nhiên, thiệt hại đã rõ ràng, và đợt thả zero-day đã hứa vào ngày Patch Tuesday đã diễn ra như dự kiến.

RoguePlanet là sản phẩm hữu hình của một pipeline tiết lộ lỗ hổng bị phá vỡ. Nó cho thấy một exploit hoạt động trên các hệ thống mà theo mọi tuyên bố chính thức là hoàn toàn an toàn. Đối với các nhà phòng thủ, bài học ngay lập tức là Patch Tuesday một mình không thể được coi là ranh giới bảo mật hoàn chỉnh khi các lỗi race condition chưa được giải quyết trong các sản phẩm bảo mật cốt lõi vẫn có thể khai thác được.

Cách RoguePlanet giành quyền truy cập cấp SYSTEM

RoguePlanet là một exploit leo thang đặc quyền cục bộ (LPE) khai thác lỗ hổng race condition trong logic xử lý tập tin của Microsoft Defender . Khi Defender phát hiện một tập tin độc hại — đặc biệt là tập tin được lưu trữ trên máy chủ SMB từ xa — nó xác thực đường dẫn tập tin trước khi thực hiện hành động như cách ly hay xóa. Lỗ hổng tồn tại vì Defender không xác thực lại đường dẫn tại thời điểm thực hiện thao tác ghi, tạo ra một khoảng thời gian hẹp để khai thác .

Kẻ tấn công chiến thắng trong cuộc đua điều kiện này có thể điều hướng Defender ghi đè lên các tập tin hợp lệ của chính nó hoặc thực thi mã tùy ý, cuối cùng mở ra một dấu nhắc lệnh với đặc quyền SYSTEM . Điều này mang lại toàn quyền kiểm soát máy, nhưng cách tiếp cận có một hạn chế đáng kể. Nhà nghiên cứu mô tả exploit này vốn không đáng tin cậy, gọi nó là 'hên xui' và ghi nhận tỷ lệ thành công 100% trên một số máy nhưng thất bại hoàn toàn trên những máy khác .

Một số chi tiết kỹ thuật chính xác định mối đe dọa:

• Yêu cầu truy cập ban đầu: Kẻ tấn công phải có quyền truy cập thấp vào máy mục tiêu trước khi có thể cố gắng leo thang .
• Xác nhận độc lập: Công ty bảo mật ThreatLocker đã tái tạo thành công exploit trên các hệ thống đã áp dụng tất cả bản cập nhật tháng 6 năm 2026 .
• Chưa có bản sửa lỗi: Tại thời điểm tiết lộ, lỗ hổng ảnh hưởng đến Windows 10 và Windows 11 đã được vá đầy đủ, nhưng chưa có bản vá nào .

Kỹ thuật này là sự tiếp nối nghiên cứu được sử dụng trong các tiết lộ trước đó của Nightmare Eclipse, chẳng hạn như BlueHammer (CVE-2026-33825), cũng khai thác lỗ hổng race condition time-of-check to time-of-use (TOCTOU) trong quy trình xử lý của Defender .

Một Exploit Được Định Thời Gian Để Làm Lu Mờ Patch Tuesday

Bản Patch Tuesday tháng 6 năm 2026 của Microsoft đã giải quyết kỷ lục 200 lỗ hổng, bao gồm các bản sửa lỗi cho hai lỗi Defender — BlueHammer và RedSun — mà Nightmare Eclipse đã tiết lộ công khai trong những tháng trước đó . Quy mô của bản cập nhật nhằm báo hiệu một phản ứng bảo mật toàn diện.

Rapid7 lưu ý rằng ba trong số các lỗ hổng được tiết lộ công khai trong đợt tháng 6 có liên quan trực tiếp đến câu chuyện đang diễn ra với Nightmare Eclipse . Phản ứng của nhà nghiên cứu là ngay lập tức và mang tính kịch tính. Vào ngày 28 tháng 5, một bài đăng đã hứa hẹn một đợt thả zero-day 'vỡ xương' vào ngày Patch Tuesday . Việc tung ra RoguePlanet chỉ vài giờ sau khi các bản vá được phát hành là một tuyên bố trực tiếp rằng quy trình này là không đủ .

Cuộc Tranh Chấp Kéo Dài Nhiều Tháng Đằng Sau Exploit

Việc phát hành RoguePlanet không xảy ra một cách cô lập. Nó là zero-day thứ bảy được Nightmare Eclipse công bố kể từ tháng 4 năm 2026, mỗi lần đều leo thang một cuộc tranh chấp gay gắt với Microsoft đã lôi kéo cả cộng đồng bảo mật rộng lớn hơn .

Những Bất Bình Của Nhà Nghiên Cứu

Nightmare Eclipse, người cũng sử dụng các bút danh Chaotic Eclipse và MSNightmare, tuyên bố đã nhiều lần gửi báo cáo lỗi qua cổng MSRC chính thức của Microsoft, nhưng đều bị phớt lờ, đóng mà không có giải thích, hoặc bị trả lời một cách miệt thị . Nhà nghiên cứu cáo buộc thêm rằng Microsoft đã vô hiệu hóa các tài khoản GitHub, GitLab và MSRC của họ, cắt đứt mọi kênh báo cáo lỗi chính thức . Cảm thấy bị làm nhục trước công chúng và không còn lựa chọn, nhà nghiên cứu bắt đầu công bố toàn bộ exploit zero-day, bao gồm cả mã bằng chứng khái niệm chức năng .

Chuỗi Zero-Day Liên Hoàn

Trước RoguePlanet, sáu lỗ hổng đã được tiết lộ công khai, mỗi lỗi đều mở rộng phạm vi ảnh hưởng:

• BlueHammer (CVE-2026-33825) — Một lỗi race condition của Defender dẫn đến LPE
• RedSun (CVE-2026-41091) — Một lỗi LPE Defender khác
• UnDefend (CVE-2026-45498) — Lỗ hổng Defender thứ ba
• YellowKey, GreenPlasma, và MiniPlasma — Lỗi ảnh hưởng đến các thành phần bao gồm BitLocker và CTF

Vào cuối tháng 5, ba trong số này — BlueHammer, RedSun và UnDefend — đã được xác nhận là đang bị khai thác tích cực, và Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã thêm chúng vào danh mục các lỗ hổng đã biết đang bị khai thác .

Phản Ứng Leo Thang Và Sự Rút Lui Của Microsoft

Phản ứng ban đầu của Microsoft là mạnh mẽ. Công ty đã đăng một bài blog chỉ trích các tiết lộ không phối hợp là 'vô trách nhiệm' và cảnh báo rằng chúng khiến khách hàng gặp rủi ro đáng kể trước khi có bản vá . Tình hình leo thang vào cuối tháng 5 khi Microsoft đe dọa sẽ chuyển vụ việc cho cơ quan thực thi pháp luật để điều tra hình sự, một động thái ngay lập tức gây ra phản ứng dữ dội từ cộng đồng bảo mật .

Các nhà phê bình cho rằng việc Microsoft xử lý các báo cáo ban đầu — phớt lờ hoặc đóng chúng và thu hồi tài khoản của nhà nghiên cứu — là nguyên nhân gốc rễ của các tiết lộ công khai . Áp lực đã có tác động có thể đo lường được. Đến ngày 2 tháng 6, Microsoft đã công khai hạ nhiệt lập trường, đưa ra tuyên bố rằng họ 'không có ý định theo đuổi hành động chống lại các cá nhân tiến hành hoặc công bố nghiên cứu bảo mật' . Tuy nhiên, thiệt hại đã rõ ràng, và đợt thả zero-day đã hứa vào ngày Patch Tuesday đã diễn ra như dự kiến.

RoguePlanet là sản phẩm hữu hình của một pipeline tiết lộ lỗ hổng bị phá vỡ. Nó cho thấy một exploit hoạt động trên các hệ thống mà theo mọi tuyên bố chính thức là hoàn toàn an toàn. Đối với các nhà phòng thủ, bài học ngay lập tức là Patch Tuesday một mình không thể được coi là ranh giới bảo mật hoàn chỉnh khi các lỗi race condition chưa được giải quyết trong các sản phẩm bảo mật cốt lõi vẫn có thể khai thác được.