Nightmare-Eclipse零日漏洞爆發：六星期、六個漏洞、一場對微軟嘅江湖追殺令

2026年4月初，一個化名Nightmare-Eclipse（又被稱為Chaotic Eclipse、Dead Eclipse）嘅保安研究員，對微軟Windows發動咗一場史無前例嘅猛攻。喺短短六星期內，佢連續公開咗六個可以實際使用嘅零日漏洞攻擊碼（proof-of-concept, PoC），唔係為咗賺錢或者打響名堂，而係一場針對微軟安全回應中心（MSRC）嘅報復式抗議。結果係，微軟被逼推出緊急修補程式（out-of-band patch），CISA發出緊急指令，但至今仍然有三個嚴重漏洞未修復，令數以百萬計嘅Windows電腦曝露喺被攻擊嘅風險之中。

Barracuda、ThreatLocker 等保安公司都形容，呢次唔係一場協調好嘅漏洞披露，而係一次不斷升級嘅個人恩怨 。成個事件時間線暴露咗微軟產品本身，同埋佢同獨立研究員之間關係嘅深層次問題，係一個經典案例，示範咗一個心懷怨恨嘅人點樣可以癱瘓成個保安生態系統。

六大漏洞爆發時序

以下係每個漏洞公開、修補狀態同埋機構反應嘅完整時間線。

日期	事件
4月3日	BlueHammer 漏洞公開——一個可以透過微軟Defender取得SYSTEM權限嘅本地提權（LPE）漏洞，喺GitHub發布，附帶訊息：「我冇嚇你，微軟」 。
4月7日	BlueHammer 連同完整嘅概念驗證碼（PoC）被全面公開 。
~4月10日	Barracuda 同 Huntress 觀察到，已有攻擊者利用來自俄羅斯嘅基礎設施進行實際攻擊 。
4月14日	微軟喺每月嘅「Patch Tuesday」更新中修復咗 BlueHammer，漏洞編號為 CVE-2026-33825（CVSS 7.8） 。
4月16日	RedSun（透過Defender雲端檔案回滾機制進行本地提權）同 UnDefend（可停用Defender嘅簽名更新）被公開。Huntress 確認呢三個Defender漏洞全部都已被用於實際攻擊 。
4月~17日	CISA 將 CVE-2026-41091 (RedSun) 同 CVE-2026-45498 (UnDefend) 加入佢嘅「已知被利用漏洞」目錄（KEV），強制美國聯邦機構必須喺6月3日前修補 。
5月12日	YellowKey（透過WinRE繞過BitLocker）同 GreenPlasma（CTFMON SYSTEM 提權）喺5月Patch Tuesday嘅第二日被公開 。
5月17日	MiniPlasma 公開——一個可以喺已安裝所有2026年5月更新嘅 Windows 11 系統上取得SYSTEM權限嘅漏洞 。
5月19日	ThreatLocker 證實 MiniPlasma 喺已全面更新嘅系統上依然有效 。
5月21日	微軟針對 RedSun 同 UnDefend 發布緊急「頻外」修補程式 。
~5月23日	GitHub 關閉咗 Nightmare-Eclipse 嘅帳號 。
~5月26–27日	GitLab 亦關閉咗相關聯嘅帳號 。
5月27日	微軟發表題為「共同嘅責任」嘅網誌文章，譴責呢種披露行為，並透過佢嘅「數碼犯罪部門」暗示可能採取法律行動 。
7月14日 （威脅）	研究員警告會喺呢一日（下一個 Patch Tuesday）再次大規模公開漏洞 。

漏洞摘要同修補狀態

截至2026年5月底，六個漏洞中有三個已被修復，另外三個——特別係MiniPlasma——仍然係直接嘅營運風險。

漏洞名稱	類型 / 目標	CVE 編號	CVSS 分數	修補狀態
BlueHammer	微軟Defender 本地提權 → SYSTEM	CVE-2026-33825	7.8	已修復 — 4月14日 Patch Tuesday
RedSun	微軟Defender 本地提權	CVE-2026-41091	7.8	已修復 — 5月21日緊急更新
UnDefend	停用Defender簽名更新	CVE-2026-45498	4.0	已修復 — 5月21日緊急更新
YellowKey	繞過 BitLocker 加密	CVE-2026-45585	6.8	未修復 — 僅提供緩解指引
GreenPlasma	CTFMON SYSTEM 提權	未有編號	未有分數	未修復
MiniPlasma	已全面更新Win11上提權至SYSTEM	未有編號	未有分數	未修復 — 獲ThreatLocker證實

MiniPlasma 特別危險，因為佢容許一個普通用戶喺已安裝所有2026年5月更新嘅 Windows 11 系統上取得 SYSTEM 級別權限 。佢利用咗 BlueHammer 都攻擊過嘅 cldflt.sys 雲端檔案驅動程式，透過重新觸發一個微軟聲稱早喺2020年12月已修復，但研究員話根本未完全修復嘅漏洞（CVE-2020-17103） 。

研究員嘅動機：一場針對MSRC嘅抗議

研究員明確表示，呢一連串公開披露係對微軟安全回應中心（MSRC）「處理不當」嘅報復。根據公開聲明同報導，佢之前私下提交嘅漏洞報告被MSRC置之不理、處理緩慢，甚至被提出過分嘅要求——據講包括要求佢拍片示範個漏洞點樣運作 。研究員多次聲稱，MSRC 威脅要「摧毀我嘅人生，而佢哋真係咁做咗」 。

後來幾次發布嘅時機都刻意揀喺微軟 Patch Tuesday 嘅第二日，為咗令曝光度同壓力最大化。YellowKey 同 GreenPlasma 喺5月12日發布，MiniPlasma 緊隨其後喺5月17日出現 。

微軟嘅回應同法律威脅

5月27日，微軟發表咗一篇題為《共同嘅責任：透過協調漏洞披露保護客戶》嘅網誌文章 。文章內容包括：

• 點名六個漏洞「全部都唔係透過負責任方式披露」 。
• 呼籲保安社群遵從「協調漏洞披露」（CVD）嘅做法。
• 包含嚟自微軟「數碼犯罪部門」嘅隱晦法律威脅，警告呢種武器化嘅公開披露可能會帶來法律後果 。

微軟強硬嘅言辭升級咗衝突，但冇解決核心問題：三個零日漏洞依然未修復。而發布程式碼嘅平台——GitHub（約5月23日）同 GitLab（幾日後）——就採取行動，終止咗研究員嘅帳號 。

實際攻擊同機構警報

到咗4月中，最初嗰三個 Defender 漏洞已經全部被用於實際攻擊。Huntress 同 Barracuda 發現，攻擊者直接由 GitHub 公開倉庫攞走 PoC 程式碼，仲用咗同俄羅斯地理位置相關嘅基礎設施 。

CISA 反應好快。BlueHammer 喺4月22日被加入 KEV 目錄，要求聯邦機構喺5月6日前修補 。RedSun 同 UnDefend 之後亦被加入，限期係6月3日 。呢啲行動反映咗深層嘅憂慮：當保安工具本身就係攻擊途徑嘅時候，傳統嘅防禦模型就會崩潰。

社群反應：一個崩壞嘅披露制度

網絡保安社群對呢次事件有兩種截然不同嘅評價。

對研究員嘅批評主要嚟自 Barracuda、ThreatLocker 同 LevelBlue，佢哋形容呢場「運動」既危險又適得其反 。喺冇修補程式嘅情況下公開武器化嘅攻擊碼，令全球企業用戶陷入即時風險。

對微軟嘅批評同樣尖銳。好多研究員指出，如果MSRC嘅流程更加尊重同有回應，成場鬧劇本來可以避免。呢次披露重新揭開咗一啲積怨已久嘅問題：緩慢嘅分類、唔透明嘅溝通、同埋對嗰啲唔符合企業賞金模式嘅漏洞發現者採取敵對態度 。

其中一個好諷刺嘅現實係：微軟喺三個漏洞仲未修復嘅同時威脅要告人——評論家認為呢種做法只係做樣，而且分錯咗輕重 。

跟住落嚟會點？

研究員雖然沉寂咗，但冇完全消失。喺失去平台使用權後，佢轉咗去一個個人網誌，並明確威脅會喺7月14日（下一個 Patch Tuesday） 再嚟一次大規模公開漏洞 。個威脅係咪可信冇人知，但個模式已經確立咗。

對保安團隊嚟講，當下最重要嘅任務好清晰：套用 Defender 嗰兩個緊急修補程式，為 YellowKey 實施緩解措施（刪除 autofstx.exe 嘅 BootExecute 登錄值，同埋為 BitLocker 啟用 TPM+PIN） ，同埋將 MiniPlasma 視為一個冇官方修復方案嘅即時威脅嚟處理。要密切留意針對未來 Patch Tuesday 發布嘅新 PoC，同埋為而家攻擊者有系統地針對嘅 Defender 組件準備好補償控制措施。

Nightmare-Eclipse 事件唔單止係關於六個漏洞。呢次係一次壓力測試，檢驗緊平台供應商同佢哋依賴嘅研究員之間嘅關係。當呢段關係破裂嘅時候，後果就會係公開、可利用、而且極其嚴重。