RoguePlanet: Microsoft patcht Zero-Day-Schwachstelle im Defender

Microsoft hat eine Sicherheitslücke in seinem Virenschutz Microsoft Defender geschlossen, die Angreifern unter bestimmten Umständen weitreichende Systemrechte verschaffen konnte. Der Bug wurde unter dem Namen RoguePlanet im Juni öffentlich gemacht.

Update kommt automatisch

Behoben wurde das Problem mit der neuen Version 1.1.26060.3008 der Microsoft Malware Protection Engine. Diese Scan-Engine bildet die technische Grundlage verschiedener Sicherheitslösungen des Unternehmens. Microsoft erklärte, das Update beseitige die mit CVE-2026-50656 verbundene Sicherheitslücke. Nutzer können anhand der Versionsnummer überprüfen, ob die Aktualisierung bereits installiert wurde.

Entdeckt und veröffentlicht wurde die Schwachstelle von dem Sicherheitsforscher, der unter dem Pseudonym "Nightmare Eclipse" auftritt. Nach eigenen Angaben betrifft der Fehler vollständig aktualisierte Systeme mit Windows 10 und Windows 11. Ausgenutzt werde eine sogenannte Race Condition in Microsoft Defender, über die sich eine Eingabeaufforderung mit SYSTEM-Rechten starten lasse - den höchsten Berechtigungen innerhalb des Betriebssystems.


Der Forscher räumte allerdings ein, dass der Angriff nicht auf jedem Rechner gleichermaßen zuverlässig funktioniere. Auf manchen Systemen habe die Erfolgsquote bei 100 Prozent gelegen, auf anderen sei die Ausnutzung deutlich schwieriger gewesen. Zudem funktioniere der veröffentlichte Proof of Concept unabhängig davon, ob der Echtzeitschutz von Defender aktiviert sei.

Andauernder Streit

Die Offenlegung von RoguePlanet erfolgte vor dem Hintergrund eines anhaltenden Streits zwischen Nightmare Eclipse und Microsoft. Der Forscher wirft dem Unternehmen einen problematischen Umgang mit seinem Bug-Bounty-Programm und der Meldung von Sicherheitslücken vor. Außerdem veröffentlichte er den Demonstrationscode in einem selbst betriebenen Git-Repository. Nach seiner Darstellung hatte Microsoft zuvor Repositories mit Exploits auf GitHub und GitLab entfernen lassen.

Microsoft hatte bereits Mitte Juni bestätigt, an einem Sicherheitsupdate für die Schwachstelle zu arbeiten, den Forscher jedoch bislang nicht ausdrücklich als Entdecker anerkannt. RoguePlanet gehört zu einer ganzen Reihe von Nightmare Eclipse veröffentlichter Zero-Day-Lücken. In den vergangenen Monaten machte der Sicherheitsforscher unter anderem Schwachstellen mit den Bezeichnungen BlueHammer, RedSun, GreenPlasma, MiniPlasma, YellowKey und UnDefend öffentlich.


Siehe auch: