漏洞原理：杀毒软件引擎自身存在 TOCTOU 竞争条件

该缺陷是一个检查时间到使用时间（TOCTOU）竞争条件，源于一个不正确的链接解析问题 (CWE-59) 。微软恶意软件保护引擎默认以 NT AUTHORITY\SYSTEM 权限运行。该漏洞利用引擎与自身进行竞争：

• 一个低权限用户创建一个特制的符号链接或文件，引擎会对其进行检查（检查时间），然后在引擎使用它之前（使用时间）将其替换。
• 通过赢得这场竞争（使用 oplock 可靠地控制时间），攻击者将引擎的文件操作重定向到一个任意位置，例如攻击者控制的目录 。
• 然后，引擎会在攻击者选择的路径上执行一个特权文件操作（例如，写入或执行），从而有效地生成一个以 SYSTEM 权限运行的命令提示符 。

该攻击是本地的——攻击者必须已经拥有对机器的标准用户访问权限——但除此之外不需要任何额外的权限 。

CVSS 评分与严重性

微软为其分配的 CVSS 3.1 基础评分为 7.8（高危），攻击复杂度判定为低（认为 oplock 使竞争变得可靠）。美国国家漏洞数据库 (NVD) 列出的基础评分为 7.0（高危），攻击复杂度判定为高（承认竞争难度）。根据微软的评估，时间向量的分数为 7.6 。

该漏洞在微软的可利用性指数中被评为 "更有可能被利用" 。

公开披露时间线

从公开利用代码发布到微软确认之间存在关键的时间差：

公开攻击代码发布（6月10日）与微软确认（6月16日）之间存在约6天的差距。截至2026年7月上旬，该漏洞的利用代码已公开大约一个月，仍未得到修复 。

漏洞发现者：Nightmare Eclipse 行动

该漏洞由化名为 Nightmare Eclipse（也称为 Chaotic Eclipse）的安全研究员发现并公开发布 。

这是该研究员针对 Microsoft Defender 进行的持续行动中披露的第七个利用代码。此前披露的缺陷包括 BlueHammer、RedSun、UnDefend、YellowKey 和 GreenPlasma 等其他提权和绕过漏洞 。TechRadar 将 RoguePlanet 描述为 "针对 Defender 攻击面的一项持续性研究行动的一部分" 。ThreatLocker 等第三方团队验证的概念验证 (PoC) 复现证实了该利用链的可靠性 。

社区对补丁延迟的批评

长时间的补丁空白期引起了安全社区的尖锐批评：

• Red Hound 直言不讳地描述了这一情况："针对每份 Windows 系统都附带的杀毒软件，其可利用漏洞代码已公开超过两周，仍然没有补丁" 。
• 云安全联盟 (Cloud Security Alliance) 指出，截至6月19日（披露后9天），尚未宣布补丁或带外发布的时间表，并称对于一个预装在每台消费者和企业 Windows 系统上的漏洞而言，这个时间窗口"令人震惊" 。
• cve.tools 报告称，截至2026年7月1日（披露后21天），仍无补丁存在，并表示对于"一个核心安全组件中公开可利用的零日漏洞"而言，如此长时间的暴露"并不寻常" 。
• 多个来源强调了一种讽刺现象：微软自己的杀毒引擎——最后一道防线——竟被用作获取 SYSTEM 级别权限的媒介，而微软缺乏紧迫感的表现也引发了人们对其漏洞响应流程的质疑 。

核心的挫败感在于：由于 Defender 在所有 Windows 安装中默认启用，该漏洞拥有巨大的攻击面。尽管功能性利用代码已公开可用，却仍未发布任何临时补丁（带外更新）。

临时缓解措施和组织应采取的步骤

在微软发布永久修复程序之前，安全社区一致建议采取以下步骤：

在补丁可用时立即应用

• 一旦微软发布安全更新，请更新微软恶意软件保护引擎 (MsMpEng)。该更新通常通过 Windows 更新或 Microsoft 更新目录提供 。
• 截至2026年7月10日，尚无修复程序可用——请监控 CVE 公告和微软安全响应中心 (MSRC) 以了解带外发布信息 。

临时缓解措施（尚无补丁）

• 限制本地用户帐户。 由于该漏洞需要交互式登录，请尽量减少敏感系统上的标准用户数量 。
• 强制执行 AppLocker 或 Windows Defender 应用程序控制 (WDAC)。 阻止运行未经授权的可执行文件和脚本，包括不受信任的 PoC 二进制文件 。
• 启用攻击面减少 (ASR) 规则。 这些规则可以阻止凭据窃取和不受信任的进程——尽管它们可能无法直接阻止 TOCTOU 竞争 。
• 监控已知的漏洞利用痕迹。 该漏洞依赖于特定的 oplock 和符号链接创建。部署 EDR 规则，以警报非 SYSTEM 进程的异常 oplock 使用和意外的符号链接创建行为 。
• 优先限制不受信任或未经验证用户对 Windows 终端的物理/逻辑访问。 由于该漏洞需要本地代码执行，这是最可靠的临时控制措施 。
• 采用最小权限模型。 不要向标准用户授予本地管理员权限，尽管请注意，这并不能阻止该漏洞（因为它可以从标准用户提升到SYSTEM）。

漏洞原理：杀毒软件引擎自身存在 TOCTOU 竞争条件

该缺陷是一个检查时间到使用时间（TOCTOU）竞争条件，源于一个不正确的链接解析问题 (CWE-59) 。微软恶意软件保护引擎默认以 NT AUTHORITY\SYSTEM 权限运行。该漏洞利用引擎与自身进行竞争：

• 一个低权限用户创建一个特制的符号链接或文件，引擎会对其进行检查（检查时间），然后在引擎使用它之前（使用时间）将其替换。
• 通过赢得这场竞争（使用 oplock 可靠地控制时间），攻击者将引擎的文件操作重定向到一个任意位置，例如攻击者控制的目录 。
• 然后，引擎会在攻击者选择的路径上执行一个特权文件操作（例如，写入或执行），从而有效地生成一个以 SYSTEM 权限运行的命令提示符 。

该攻击是本地的——攻击者必须已经拥有对机器的标准用户访问权限——但除此之外不需要任何额外的权限 。

CVSS 评分与严重性

微软为其分配的 CVSS 3.1 基础评分为 7.8（高危），攻击复杂度判定为低（认为 oplock 使竞争变得可靠）。美国国家漏洞数据库 (NVD) 列出的基础评分为 7.0（高危），攻击复杂度判定为高（承认竞争难度）。根据微软的评估，时间向量的分数为 7.6 。

该漏洞在微软的可利用性指数中被评为 "更有可能被利用" 。

公开披露时间线

从公开利用代码发布到微软确认之间存在关键的时间差：

公开攻击代码发布（6月10日）与微软确认（6月16日）之间存在约6天的差距。截至2026年7月上旬，该漏洞的利用代码已公开大约一个月，仍未得到修复 。

漏洞发现者：Nightmare Eclipse 行动

该漏洞由化名为 Nightmare Eclipse（也称为 Chaotic Eclipse）的安全研究员发现并公开发布 。

这是该研究员针对 Microsoft Defender 进行的持续行动中披露的第七个利用代码。此前披露的缺陷包括 BlueHammer、RedSun、UnDefend、YellowKey 和 GreenPlasma 等其他提权和绕过漏洞 。TechRadar 将 RoguePlanet 描述为 "针对 Defender 攻击面的一项持续性研究行动的一部分" 。ThreatLocker 等第三方团队验证的概念验证 (PoC) 复现证实了该利用链的可靠性 。

社区对补丁延迟的批评

长时间的补丁空白期引起了安全社区的尖锐批评：

• Red Hound 直言不讳地描述了这一情况："针对每份 Windows 系统都附带的杀毒软件，其可利用漏洞代码已公开超过两周，仍然没有补丁" 。
• 云安全联盟 (Cloud Security Alliance) 指出，截至6月19日（披露后9天），尚未宣布补丁或带外发布的时间表，并称对于一个预装在每台消费者和企业 Windows 系统上的漏洞而言，这个时间窗口"令人震惊" 。
• cve.tools 报告称，截至2026年7月1日（披露后21天），仍无补丁存在，并表示对于"一个核心安全组件中公开可利用的零日漏洞"而言，如此长时间的暴露"并不寻常" 。
• 多个来源强调了一种讽刺现象：微软自己的杀毒引擎——最后一道防线——竟被用作获取 SYSTEM 级别权限的媒介，而微软缺乏紧迫感的表现也引发了人们对其漏洞响应流程的质疑 。

核心的挫败感在于：由于 Defender 在所有 Windows 安装中默认启用，该漏洞拥有巨大的攻击面。尽管功能性利用代码已公开可用，却仍未发布任何临时补丁（带外更新）。

临时缓解措施和组织应采取的步骤

在微软发布永久修复程序之前，安全社区一致建议采取以下步骤：

在补丁可用时立即应用

• 一旦微软发布安全更新，请更新微软恶意软件保护引擎 (MsMpEng)。该更新通常通过 Windows 更新或 Microsoft 更新目录提供 。
• 截至2026年7月10日，尚无修复程序可用——请监控 CVE 公告和微软安全响应中心 (MSRC) 以了解带外发布信息 。

临时缓解措施（尚无补丁）

• 限制本地用户帐户。 由于该漏洞需要交互式登录，请尽量减少敏感系统上的标准用户数量 。
• 强制执行 AppLocker 或 Windows Defender 应用程序控制 (WDAC)。 阻止运行未经授权的可执行文件和脚本，包括不受信任的 PoC 二进制文件 。
• 启用攻击面减少 (ASR) 规则。 这些规则可以阻止凭据窃取和不受信任的进程——尽管它们可能无法直接阻止 TOCTOU 竞争 。
• 监控已知的漏洞利用痕迹。 该漏洞依赖于特定的 oplock 和符号链接创建。部署 EDR 规则，以警报非 SYSTEM 进程的异常 oplock 使用和意外的符号链接创建行为 。
• 优先限制不受信任或未经验证用户对 Windows 终端的物理/逻辑访问。 由于该漏洞需要本地代码执行，这是最可靠的临时控制措施 。
• 采用最小权限模型。 不要向标准用户授予本地管理员权限，尽管请注意，这并不能阻止该漏洞（因为它可以从标准用户提升到SYSTEM）。