運作原理：防毒引擎自身的 TOCTOU 競爭條件

此缺陷是一個檢查時間與使用時間 (TOCTOU) 競爭條件，根源於不當的連結解析問題 (CWE-59) 。Microsoft 惡意軟體防護引擎預設以 NT AUTHORITY\SYSTEM 權限執行。此漏洞利用該引擎與自身進行競爭：

• 一個低權限使用者建立一個特製的符號連結或檔案，引擎在檢查它（檢查時間）後，攻擊者在引擎使用它（使用時間）之前將其置換。
• 透過巧妙運用 oplock 來可靠地控制時間差以贏得這場競爭，攻擊者能將引擎的檔案操作重新導向至任意位置，例如攻擊者控制的目錄 。
• 引擎隨後會在攻擊者選擇的路徑執行一個有權限的檔案操作（例如寫入或執行），從而產生一個具有 SYSTEM 權限的命令列介面 。

此漏洞為本機漏洞——攻擊者必須先擁有機器的標準使用者存取權——但除此之外無需任何額外權限 。

CVSS 分數與嚴重性

微軟給予CVSS 3.1 基礎分數 7.8（高風險），攻擊複雜度：低（認為 oplock 使競爭條件變得可靠）。NVD 則列出基礎分數為 7.0（高風險），攻擊複雜度：高（承認競爭條件的難度）。在微軟的評估下，時間向量 (E:F/RL:U/RC:C) 得出的時間分數為 7.6 。

此漏洞在微軟的可利用性指數中被評為 「可利用性較高」 。

公開揭露時間軸

從公開漏洞釋出到微軟正式承認之間的空窗期至關重要：

從公開漏洞釋出（6 月 10 日）到微軟承認（6 月 16 日）之間約有 6 天空窗期。截至 2026 年 7 月上旬，該漏洞利用程式已公開約一個月，但修補程式仍未發布 。

發現者是誰：Nightmare Eclipse 研究活動

此漏洞由化名 Nightmare Eclipse（也稱為 Chaotic Eclipse）的安全研究人員發現並公開釋出 。

這是該研究人員針對 Microsoft Defender 的第七個漏洞。先前的 Defender 漏洞包括其他權限提升和繞過漏洞，例如 BlueHammer、RedSun、UnDefend、YellowKey 和 GreenPlasma 。TechRadar 將 RoguePlanet 描述為「針對 Defender 攻擊面的持續研究活動的一部分」。第三方組織如 ThreatLocker 驗證的概念驗證 (PoC) 也確認了此漏洞利用鏈的可靠性 。

社群對修補延遲的批評

長期的修補空窗期引來安全社群的嚴厲批評：

• Red Hound 直言不諱地描述：「一個能影響每台 Windows 電腦內建防毒軟體的可用漏洞利用程式，已公開超過兩週，卻仍然沒有修補程式」。
• Cloud Security Alliance 指出，截至 6 月 19 日（漏洞揭露後九天），仍未宣布修補程式或緊急更新時間表，並稱對於一個存在於每台消費者和企業 Windows 系統上的漏洞而言，這個空窗期「令人震驚」。
• cve.tools 報告稱，截至 2026 年 7 月 1 日（漏洞揭露後 21 天），仍無修補程式，並指出對於一個在核心安全元件中公開被利用的零日漏洞而言，這種長時間的暴露「並不尋常」。
• 多個來源強調了一個諷刺的現象：微軟自家的防毒引擎——最後一道防線——竟被用作取得 SYSTEM 級別權限的攻擊媒介，而微軟缺乏緊急應變的態度，引發了對其漏洞回應流程的質疑 。

核心的不滿在於：由於 Defender 在所有 Windows 安裝中都是預設啟用的，此漏洞的攻擊面極其巨大。然而，儘管功能完整的漏洞利用程式碼已公開，微軟卻未發布任何臨時修補程式 (緊急更新) 。

臨時緩解措施與組織應採取的步驟

在微軟發布永久修補程式之前，各來源一致建議採取以下措施：

在修補程式可用時立即套用

• 一旦微軟發布安全性更新，請更新 Microsoft 惡意軟體防護引擎 (MsMpEng)。這通常透過 Windows Update 或 Microsoft Update Catalog 傳遞 。
• 截至 2026 年 7 月 10 日尚無修正程式 —— 請監控 CVE 公告和 Microsoft 安全性回應中心 (MSRC) 以獲取緊急更新資訊 。

臨時緩解措施（尚無修補程式）

• 限制本機使用者帳戶。 由於此漏洞需要互動式登入，請盡量減少敏感系統上的標準使用者數量 。
• 強制實施 AppLocker 或 WDAC (Windows Defender 應用程式控制)，以封鎖未經授權的可執行檔和指令碼，包括不受信任的 PoC 二進位檔 。
• 啟用 ASR (攻擊面減少) 規則，這些規則可封鎖憑證竊取和不受信任的處理程序 —— 儘管它們可能無法直接阻止 TOCTOU 競爭條件 。
• 監控已知的漏洞利用特徵。 此漏洞依賴特定的 oplock 和符號連結建立。部署 EDR 規則，對非 SYSTEM 處理程序的可疑 oplock 使用和異常符號連結建立行為發出警報 。
• 優先限制不受信任或未經驗證使用者對 Windows 端點的實體/邏輯存取。 這是最可靠的臨時控制措施，因為此漏洞需要本機程式碼執行 。
• 採用最小權限模型 —— 不要將本機管理員權限授予標準使用者，但請注意這並不能防止此漏洞（它能從標準使用者提升至 SYSTEM）。

運作原理：防毒引擎自身的 TOCTOU 競爭條件

此缺陷是一個檢查時間與使用時間 (TOCTOU) 競爭條件，根源於不當的連結解析問題 (CWE-59) 。Microsoft 惡意軟體防護引擎預設以 NT AUTHORITY\SYSTEM 權限執行。此漏洞利用該引擎與自身進行競爭：

• 一個低權限使用者建立一個特製的符號連結或檔案，引擎在檢查它（檢查時間）後，攻擊者在引擎使用它（使用時間）之前將其置換。
• 透過巧妙運用 oplock 來可靠地控制時間差以贏得這場競爭，攻擊者能將引擎的檔案操作重新導向至任意位置，例如攻擊者控制的目錄 。
• 引擎隨後會在攻擊者選擇的路徑執行一個有權限的檔案操作（例如寫入或執行），從而產生一個具有 SYSTEM 權限的命令列介面 。

此漏洞為本機漏洞——攻擊者必須先擁有機器的標準使用者存取權——但除此之外無需任何額外權限 。

CVSS 分數與嚴重性

微軟給予CVSS 3.1 基礎分數 7.8（高風險），攻擊複雜度：低（認為 oplock 使競爭條件變得可靠）。NVD 則列出基礎分數為 7.0（高風險），攻擊複雜度：高（承認競爭條件的難度）。在微軟的評估下，時間向量 (E:F/RL:U/RC:C) 得出的時間分數為 7.6 。

此漏洞在微軟的可利用性指數中被評為 「可利用性較高」 。

公開揭露時間軸

從公開漏洞釋出到微軟正式承認之間的空窗期至關重要：

從公開漏洞釋出（6 月 10 日）到微軟承認（6 月 16 日）之間約有 6 天空窗期。截至 2026 年 7 月上旬，該漏洞利用程式已公開約一個月，但修補程式仍未發布 。

發現者是誰：Nightmare Eclipse 研究活動

此漏洞由化名 Nightmare Eclipse（也稱為 Chaotic Eclipse）的安全研究人員發現並公開釋出 。

這是該研究人員針對 Microsoft Defender 的第七個漏洞。先前的 Defender 漏洞包括其他權限提升和繞過漏洞，例如 BlueHammer、RedSun、UnDefend、YellowKey 和 GreenPlasma 。TechRadar 將 RoguePlanet 描述為「針對 Defender 攻擊面的持續研究活動的一部分」。第三方組織如 ThreatLocker 驗證的概念驗證 (PoC) 也確認了此漏洞利用鏈的可靠性 。

社群對修補延遲的批評

長期的修補空窗期引來安全社群的嚴厲批評：

• Red Hound 直言不諱地描述：「一個能影響每台 Windows 電腦內建防毒軟體的可用漏洞利用程式，已公開超過兩週，卻仍然沒有修補程式」。
• Cloud Security Alliance 指出，截至 6 月 19 日（漏洞揭露後九天），仍未宣布修補程式或緊急更新時間表，並稱對於一個存在於每台消費者和企業 Windows 系統上的漏洞而言，這個空窗期「令人震驚」。
• cve.tools 報告稱，截至 2026 年 7 月 1 日（漏洞揭露後 21 天），仍無修補程式，並指出對於一個在核心安全元件中公開被利用的零日漏洞而言，這種長時間的暴露「並不尋常」。
• 多個來源強調了一個諷刺的現象：微軟自家的防毒引擎——最後一道防線——竟被用作取得 SYSTEM 級別權限的攻擊媒介，而微軟缺乏緊急應變的態度，引發了對其漏洞回應流程的質疑 。

核心的不滿在於：由於 Defender 在所有 Windows 安裝中都是預設啟用的，此漏洞的攻擊面極其巨大。然而，儘管功能完整的漏洞利用程式碼已公開，微軟卻未發布任何臨時修補程式 (緊急更新) 。

臨時緩解措施與組織應採取的步驟

在微軟發布永久修補程式之前，各來源一致建議採取以下措施：

在修補程式可用時立即套用

• 一旦微軟發布安全性更新，請更新 Microsoft 惡意軟體防護引擎 (MsMpEng)。這通常透過 Windows Update 或 Microsoft Update Catalog 傳遞 。
• 截至 2026 年 7 月 10 日尚無修正程式 —— 請監控 CVE 公告和 Microsoft 安全性回應中心 (MSRC) 以獲取緊急更新資訊 。

臨時緩解措施（尚無修補程式）

• 限制本機使用者帳戶。 由於此漏洞需要互動式登入，請盡量減少敏感系統上的標準使用者數量 。
• 強制實施 AppLocker 或 WDAC (Windows Defender 應用程式控制)，以封鎖未經授權的可執行檔和指令碼，包括不受信任的 PoC 二進位檔 。
• 啟用 ASR (攻擊面減少) 規則，這些規則可封鎖憑證竊取和不受信任的處理程序 —— 儘管它們可能無法直接阻止 TOCTOU 競爭條件 。
• 監控已知的漏洞利用特徵。 此漏洞依賴特定的 oplock 和符號連結建立。部署 EDR 規則，對非 SYSTEM 處理程序的可疑 oplock 使用和異常符號連結建立行為發出警報 。
• 優先限制不受信任或未經驗證使用者對 Windows 端點的實體/邏輯存取。 這是最可靠的臨時控制措施，因為此漏洞需要本機程式碼執行 。
• 採用最小權限模型 —— 不要將本機管理員權限授予標準使用者，但請注意這並不能防止此漏洞（它能從標準使用者提升至 SYSTEM）。