RoguePlanet如何授予SYSTEM级访问权限

RoguePlanet是一个本地权限提升（LPE）漏洞，它攻击的是Microsoft Defender文件修复逻辑中的一个条件竞争问题。当Defender检测到一个恶意文件——特别是托管在远程SMB服务器上的文件时——它会在采取行动（如隔离或删除）之前验证文件路径。该漏洞的存在是因为Defender在执行写入操作的那一刻不会重新验证路径，从而创造了一个狭窄的时间窗口。

赢得此条件竞争的攻击者可以利用Defender覆盖其自身的合法文件或执行任意代码，最终生成一个拥有SYSTEM权限的命令提示符。这使得攻击者可以完全控制机器，但该方法存在一个显著的缺陷。该研究员将此漏洞描述为天生不可靠，称其为“碰运气”，并指出在某些机器上成功率为100%，但在其他机器上则完全失败。

几个关键的技术细节定义了该威胁：

• 需要初始访问权限： 攻击者在尝试提权之前必须先拥有对目标机器的低权限访问。
• 独立确认： 安全公司ThreatLocker成功在应用了所有2026年6月更新的系统上复现了该漏洞。
• 目前无修复措施： 截至披露时，该漏洞影响完全修补的Windows 10和Windows 11系统，且没有可用的补丁。

该技术是Nightmare Eclipse之前披露中所用研究的延续，例如BlueHammer（CVE-2026-33825），该漏洞同样利用了Defender修复过程中的时间检查-时间使用（TOCTOU）条件竞争问题。

一个意在盖过补丁日风头的漏洞

微软2026年6月补丁日修复了创纪录的200个漏洞，包括修复了Nightmare Eclipse在此前几个月公开披露的两个Defender漏洞——BlueHammer和RedSun。此次更新规模之大，本意是展示一个全面的安全响应。

Rapid7指出，6月批次中三个公开披露的漏洞与Nightmare Eclipse的持续事件直接相关。该研究员的回应是立竿见影且极具戏剧性的。5月28日，一个帖子承诺将在补丁日发布一个“震撼人心的”零日漏洞。就在补丁上线仅数小时后，RoguePlanet的发布直接宣告了该流程的不足。

漏洞背后持续数月的争端

RoguePlanet的发布并非孤立事件。自2026年4月以来，它已是Nightmare Eclipse发布的第七个零日漏洞，每一次发布都加剧了与微软的激烈争执，这场争执已波及更广泛的安全社区。

研究员的不满

Nightmare Eclipse（也使用化名Chaotic Eclipse和MSNightmare）声称，他曾多次通过微软官方的MSRC门户提交漏洞报告，但要么被忽视，要么被无故关闭，又或者得到轻蔑的回应。该研究员还声称，微软禁用了他在GitHub、GitLab和MSRC门户上的账户，实质上切断了他所有报告漏洞的官方渠道。在感到公开受辱且无计可施后，该研究员开始公开发布完整的零日漏洞，包括功能性的概念验证代码。

连绵不断的零日漏洞

在RoguePlanet之前，已有六个漏洞被公开披露，每一个都扩大了受影响系统的范围：

• BlueHammer (CVE-2026-33825) — 一个导致本地权限提升的Defender条件竞争漏洞
• RedSun (CVE-2026-41091) — 另一个Defender本地权限提升漏洞
• UnDefend (CVE-2026-45498) — 第三个Defender漏洞
• YellowKey, GreenPlasma, 和 MiniPlasma — 影响包括BitLocker和CTF在内的组件漏洞

到5月下旬，其中三个漏洞——BlueHammer、RedSun和UnDefend——被确认已在野外被积极利用，美国网络安全和基础设施安全局（CISA）已将它们添加到已知被利用漏洞目录中。

微软不断升级的回应与退让

微软最初的回应是强有力的。该公司发表了一篇博文，谴责这种非协调披露行为“不负责任”，并警告称，在补丁可用之前，这些行为将客户置于重大风险之中。5月下旬，情况进一步加剧，微软威胁要将此事移交执法部门进行刑事调查，此举立即引发了安全社区的强烈反对。

批评者认为，微软对最初报告的处理——忽视或关闭报告，并撤销研究员账户——是导致公开披露的根本原因。压力带来了显著的效果。到6月2日，微软公开软化了立场，发表声明称其“无意对进行或发布安全研究的个人采取行动”。然而，损害已经造成，承诺的补丁日漏洞也如期而至。

RoguePlanet是漏洞披露管道破裂的具体产物。它在所有官方认为完全安全的系统上展示了一个有效的漏洞。对于防御者而言，即时的教训是：当核心安全产品中未解决的条件竞争漏洞仍可被利用时，仅靠补丁日不能被视为一个完整的安全边界。

RoguePlanet如何授予SYSTEM级访问权限

RoguePlanet是一个本地权限提升（LPE）漏洞，它攻击的是Microsoft Defender文件修复逻辑中的一个条件竞争问题。当Defender检测到一个恶意文件——特别是托管在远程SMB服务器上的文件时——它会在采取行动（如隔离或删除）之前验证文件路径。该漏洞的存在是因为Defender在执行写入操作的那一刻不会重新验证路径，从而创造了一个狭窄的时间窗口。

赢得此条件竞争的攻击者可以利用Defender覆盖其自身的合法文件或执行任意代码，最终生成一个拥有SYSTEM权限的命令提示符。这使得攻击者可以完全控制机器，但该方法存在一个显著的缺陷。该研究员将此漏洞描述为天生不可靠，称其为“碰运气”，并指出在某些机器上成功率为100%，但在其他机器上则完全失败。

几个关键的技术细节定义了该威胁：

• 需要初始访问权限： 攻击者在尝试提权之前必须先拥有对目标机器的低权限访问。
• 独立确认： 安全公司ThreatLocker成功在应用了所有2026年6月更新的系统上复现了该漏洞。
• 目前无修复措施： 截至披露时，该漏洞影响完全修补的Windows 10和Windows 11系统，且没有可用的补丁。

该技术是Nightmare Eclipse之前披露中所用研究的延续，例如BlueHammer（CVE-2026-33825），该漏洞同样利用了Defender修复过程中的时间检查-时间使用（TOCTOU）条件竞争问题。

一个意在盖过补丁日风头的漏洞

微软2026年6月补丁日修复了创纪录的200个漏洞，包括修复了Nightmare Eclipse在此前几个月公开披露的两个Defender漏洞——BlueHammer和RedSun。此次更新规模之大，本意是展示一个全面的安全响应。

Rapid7指出，6月批次中三个公开披露的漏洞与Nightmare Eclipse的持续事件直接相关。该研究员的回应是立竿见影且极具戏剧性的。5月28日，一个帖子承诺将在补丁日发布一个“震撼人心的”零日漏洞。就在补丁上线仅数小时后，RoguePlanet的发布直接宣告了该流程的不足。

漏洞背后持续数月的争端

RoguePlanet的发布并非孤立事件。自2026年4月以来，它已是Nightmare Eclipse发布的第七个零日漏洞，每一次发布都加剧了与微软的激烈争执，这场争执已波及更广泛的安全社区。

研究员的不满

Nightmare Eclipse（也使用化名Chaotic Eclipse和MSNightmare）声称，他曾多次通过微软官方的MSRC门户提交漏洞报告，但要么被忽视，要么被无故关闭，又或者得到轻蔑的回应。该研究员还声称，微软禁用了他在GitHub、GitLab和MSRC门户上的账户，实质上切断了他所有报告漏洞的官方渠道。在感到公开受辱且无计可施后，该研究员开始公开发布完整的零日漏洞，包括功能性的概念验证代码。

连绵不断的零日漏洞

在RoguePlanet之前，已有六个漏洞被公开披露，每一个都扩大了受影响系统的范围：

• BlueHammer (CVE-2026-33825) — 一个导致本地权限提升的Defender条件竞争漏洞
• RedSun (CVE-2026-41091) — 另一个Defender本地权限提升漏洞
• UnDefend (CVE-2026-45498) — 第三个Defender漏洞
• YellowKey, GreenPlasma, 和 MiniPlasma — 影响包括BitLocker和CTF在内的组件漏洞

到5月下旬，其中三个漏洞——BlueHammer、RedSun和UnDefend——被确认已在野外被积极利用，美国网络安全和基础设施安全局（CISA）已将它们添加到已知被利用漏洞目录中。

微软不断升级的回应与退让

微软最初的回应是强有力的。该公司发表了一篇博文，谴责这种非协调披露行为“不负责任”，并警告称，在补丁可用之前，这些行为将客户置于重大风险之中。5月下旬，情况进一步加剧，微软威胁要将此事移交执法部门进行刑事调查，此举立即引发了安全社区的强烈反对。

批评者认为，微软对最初报告的处理——忽视或关闭报告，并撤销研究员账户——是导致公开披露的根本原因。压力带来了显著的效果。到6月2日，微软公开软化了立场，发表声明称其“无意对进行或发布安全研究的个人采取行动”。然而，损害已经造成，承诺的补丁日漏洞也如期而至。

RoguePlanet是漏洞披露管道破裂的具体产物。它在所有官方认为完全安全的系统上展示了一个有效的漏洞。对于防御者而言，即时的教训是：当核心安全产品中未解决的条件竞争漏洞仍可被利用时，仅靠补丁日不能被视为一个完整的安全边界。