點樣運作：防毒引擎自己嘅TOCTOU Race Condition

呢個漏洞係一個 Time-of-Check to Time-of-Use（TOCTOU）race condition，根源係 不當嘅連結解析問題（CWE-59） 。Microsoft Malware Protection Engine預設以 NT AUTHORITY\SYSTEM 權限執行。攻擊手法係令引擎自己同自己鬥快：

• 低權限用戶建立一個特製嘅符號連結或檔案，引擎檢查呢個檔案（Time-of-Check）之後，攻擊者喺引擎使用之前（Time-of-Use）偷龍轉鳳。
• 透過控制oplock嚟準確掌握時機，攻擊者可以將引擎嘅檔案操作redirect去自己控制嘅位置。
• 引擎跟住會喺攻擊者指定嘅路徑執行有特權嘅檔案操作（例如寫入或執行），最終 spawn 出一個以 SYSTEM權限 運行嘅命令提示字元。

呢個漏洞係 本地 嘅——攻擊者必須已經有機嘅標準用戶權限，但唔需要額外權限。而且，無論Defender嘅即時防護開唔開，漏洞都照樣用得。

CVSS分數同嚴重程度

微軟將漏洞評為 CVSS 3.1基本分數7.8（HIGH），佢哋認為攻擊複雜度係低（因為oplock令race condition變得好可靠）。NVD就畀咗基本分 7.0（HIGH），佢哋認為攻擊複雜度係高（考慮到race condition嘅難度）。時間向量（E:F/RL:U/RC:C）喺微軟嘅評估下得出時間分 7.6 。

微軟嘅「可利用性指數」將呢個漏洞評為 「更可能被利用」（Exploitation More Likely） 。

公開披露時間線

由公開漏洞利用程式釋出到微軟確認，呢段時間好關鍵：

由公開漏洞利用程式（6月10日）到微軟確認（6月16日），差距大約6日。截至2026年7月上旬，漏洞利用程式已公開 大約一個月 但仲未修補。

邊個發現嘅：Nightmare Eclipse 行動

呢個漏洞由一個化名 Nightmare Eclipse（亦叫 Chaotic Eclipse）嘅安全研究員發現並公開。

呢個係呢位研究員針對微軟Defender嘅 第七個漏洞。之前佢公開過嘅Defender漏洞包括 BlueHammer、RedSun、UnDefend、YellowKey 同 GreenPlasma 等。TechRadar形容RoguePlanet係「針對Defender攻擊面嘅持續研究行動」嘅一部分。由ThreatLocker等第三方組織驗證過嘅PoC亦證實咗呢個漏洞鏈嘅可靠性。

對修補延遲嘅社群批評

漫長嘅等待修補時間引起咗安全社群嘅強烈批評：

• Red Hound 講得好直接：「一個影響每部Windows電腦都有嘅防毒軟件嘅漏洞利用程式，已經公開咗超過兩個星期，但仲未有修補程式」。
• Cloud Security Alliance 指出，截至6月19日——即公開後九日——仍然冇任何修補或緊急更新時間表，形容呢個時間窗口「令人擔憂」，因為呢個漏洞影響每部消費者同企業嘅Windows系統。
• cve.tools 報導，截至2026年7月1日（公開後21日），仍然冇修補，佢哋話呢種長時間嘅暴露「對於一個核心安全組件嘅公開零日漏洞嚟講好唔尋常」。
• 多個來源都強調一個諷刺嘅事實：微軟自己嘅防毒引擎——最後一道防線——竟然成為咗攞到SYSTEM權限嘅攻擊途徑，而微軟呢種唔緊唔慢嘅態度令人質疑佢哋嘅漏洞回應程序。

最令人沮喪嘅係：因為Defender喺所有Windows系統上都係預設開啟，呢個漏洞嘅攻擊面極大，但儘管公開咗可用嘅漏洞利用程式碼，微軟仍然冇發布任何緊急修補。

臨時緩解措施同機構應該做嘅嘢

各來源一致建議喺微軟推出永久修補之前，採取以下措施：

有修補時盡快安裝

• 一旦微軟發布安全性更新，就要更新Microsoft Malware Protection Engine（MsMpEng）。通常會透過 Windows Update 或 Microsoft Update Catalog 提供。
• 截至2026年7月10日仍未有修補——請繼續留意CVE公告同Microsoft Security Response Center（MSRC）會唔會有緊急更新。

臨時緩解措施（未有修補時）

• 限制本機用戶帳戶。 由於漏洞需要互動登入，盡量減少敏感系統上嘅標準用戶數量。
• 啟用AppLocker或WDAC（Windows Defender Application Control） 嚟封鎖未經授權嘅可執行檔同指令碼，包括唔可信嘅PoC二進位檔。
• 啟用ASR（Attack Surface Reduction）規則，可以封鎖憑證竊取同未經信任嘅程序——不過呢啲規則可能唔會直接阻止TOCTOU race condition。
• 監控已知嘅漏洞利用痕跡。 呢個漏洞利用依賴特定嘅oplock同符號連結建立。部署EDR規則嚟對異常嘅oplock使用同非SYSTEM程序意外建立symlink嘅行為發出警報。
• 優先限制唔可信或未經驗證用戶對Windows端點嘅物理/邏輯存取。呢個係最可靠嘅臨時控制措施，因為漏洞需要本地程式碼執行。
• 使用最低權限模型——唔好畀標準用戶本機管理員權限，但要注意呢樣嘢唔會阻止漏洞利用（漏洞係由標準用戶提升到SYSTEM）。

點樣運作：防毒引擎自己嘅TOCTOU Race Condition

呢個漏洞係一個 Time-of-Check to Time-of-Use（TOCTOU）race condition，根源係 不當嘅連結解析問題（CWE-59） 。Microsoft Malware Protection Engine預設以 NT AUTHORITY\SYSTEM 權限執行。攻擊手法係令引擎自己同自己鬥快：

• 低權限用戶建立一個特製嘅符號連結或檔案，引擎檢查呢個檔案（Time-of-Check）之後，攻擊者喺引擎使用之前（Time-of-Use）偷龍轉鳳。
• 透過控制oplock嚟準確掌握時機，攻擊者可以將引擎嘅檔案操作redirect去自己控制嘅位置。
• 引擎跟住會喺攻擊者指定嘅路徑執行有特權嘅檔案操作（例如寫入或執行），最終 spawn 出一個以 SYSTEM權限 運行嘅命令提示字元。

呢個漏洞係 本地 嘅——攻擊者必須已經有機嘅標準用戶權限，但唔需要額外權限。而且，無論Defender嘅即時防護開唔開，漏洞都照樣用得。

CVSS分數同嚴重程度

微軟將漏洞評為 CVSS 3.1基本分數7.8（HIGH），佢哋認為攻擊複雜度係低（因為oplock令race condition變得好可靠）。NVD就畀咗基本分 7.0（HIGH），佢哋認為攻擊複雜度係高（考慮到race condition嘅難度）。時間向量（E:F/RL:U/RC:C）喺微軟嘅評估下得出時間分 7.6 。

微軟嘅「可利用性指數」將呢個漏洞評為 「更可能被利用」（Exploitation More Likely） 。

公開披露時間線

由公開漏洞利用程式釋出到微軟確認，呢段時間好關鍵：

由公開漏洞利用程式（6月10日）到微軟確認（6月16日），差距大約6日。截至2026年7月上旬，漏洞利用程式已公開 大約一個月 但仲未修補。

邊個發現嘅：Nightmare Eclipse 行動

呢個漏洞由一個化名 Nightmare Eclipse（亦叫 Chaotic Eclipse）嘅安全研究員發現並公開。

呢個係呢位研究員針對微軟Defender嘅 第七個漏洞。之前佢公開過嘅Defender漏洞包括 BlueHammer、RedSun、UnDefend、YellowKey 同 GreenPlasma 等。TechRadar形容RoguePlanet係「針對Defender攻擊面嘅持續研究行動」嘅一部分。由ThreatLocker等第三方組織驗證過嘅PoC亦證實咗呢個漏洞鏈嘅可靠性。

對修補延遲嘅社群批評

漫長嘅等待修補時間引起咗安全社群嘅強烈批評：

• Red Hound 講得好直接：「一個影響每部Windows電腦都有嘅防毒軟件嘅漏洞利用程式，已經公開咗超過兩個星期，但仲未有修補程式」。
• Cloud Security Alliance 指出，截至6月19日——即公開後九日——仍然冇任何修補或緊急更新時間表，形容呢個時間窗口「令人擔憂」，因為呢個漏洞影響每部消費者同企業嘅Windows系統。
• cve.tools 報導，截至2026年7月1日（公開後21日），仍然冇修補，佢哋話呢種長時間嘅暴露「對於一個核心安全組件嘅公開零日漏洞嚟講好唔尋常」。
• 多個來源都強調一個諷刺嘅事實：微軟自己嘅防毒引擎——最後一道防線——竟然成為咗攞到SYSTEM權限嘅攻擊途徑，而微軟呢種唔緊唔慢嘅態度令人質疑佢哋嘅漏洞回應程序。

最令人沮喪嘅係：因為Defender喺所有Windows系統上都係預設開啟，呢個漏洞嘅攻擊面極大，但儘管公開咗可用嘅漏洞利用程式碼，微軟仍然冇發布任何緊急修補。

臨時緩解措施同機構應該做嘅嘢

各來源一致建議喺微軟推出永久修補之前，採取以下措施：

有修補時盡快安裝

• 一旦微軟發布安全性更新，就要更新Microsoft Malware Protection Engine（MsMpEng）。通常會透過 Windows Update 或 Microsoft Update Catalog 提供。
• 截至2026年7月10日仍未有修補——請繼續留意CVE公告同Microsoft Security Response Center（MSRC）會唔會有緊急更新。

臨時緩解措施（未有修補時）

• 限制本機用戶帳戶。 由於漏洞需要互動登入，盡量減少敏感系統上嘅標準用戶數量。
• 啟用AppLocker或WDAC（Windows Defender Application Control） 嚟封鎖未經授權嘅可執行檔同指令碼，包括唔可信嘅PoC二進位檔。
• 啟用ASR（Attack Surface Reduction）規則，可以封鎖憑證竊取同未經信任嘅程序——不過呢啲規則可能唔會直接阻止TOCTOU race condition。
• 監控已知嘅漏洞利用痕跡。 呢個漏洞利用依賴特定嘅oplock同符號連結建立。部署EDR規則嚟對異常嘅oplock使用同非SYSTEM程序意外建立symlink嘅行為發出警報。
• 優先限制唔可信或未經驗證用戶對Windows端點嘅物理/邏輯存取。呢個係最可靠嘅臨時控制措施，因為漏洞需要本地程式碼執行。
• 使用最低權限模型——唔好畀標準用戶本機管理員權限，但要注意呢樣嘢唔會阻止漏洞利用（漏洞係由標準用戶提升到SYSTEM）。