前言
漏洞之子：Windows叒是我们这一次的主人公
今天我们介绍的漏洞是由研究员Nightmare Eclipse（化名）发布的RoguePlanet（CVE-2026-50656）漏洞。
简单介绍
RoguePlanet是位于Microsoft恶意软件防护引擎中的本地权限提升漏洞（defender立大功[doge）
- 编号与评分：CVE-2026-50656，CVSS 评分为 7.8（人话：足以炸掉你的系统:(）。
- 漏洞类型：Elevation of Privilege，弱点CWE-59: Improper Link Resolution Before File Access ('Link Following')
- 受影响组件：mpengine.dll，Defender的核心扫描、检测与清理模块。
- 受影响系统：Windows 10 及 Windows 11。Windows Server受底层影响。
攻击链
- 构造攻击载体：创建一个内含EICAR测试文件和NTFS交接点的恶意ISO镜像。
- 挂载ISO：通过低级别Windows API静默挂载该ISO，无需管理员权限且对用户不可见。
- 触发扫描：通过MpClient.dll直接与Defender交互，触发对wermgr.exe的实时扫描。
- 设置机会锁：Defender扫描到EICAR文件并创建卷影副本时，攻击者在VSS路径上设置机会锁，暂停Defender操作。
- 重定向路径：利用锁定的时机窗口，通过NTFS交接点将文件操作重定向到攻击者控制的System32目录。
- 获取SYSTEM Shell：Defender恢复操作后以SYSTEM权限执行攻击者代码，返回一个SYSTEM权限的命令行Shell。
注意
此漏洞非直接入口，使用前需在目标机器上获得代码执行能力。
关闭Defender无效：即使关闭Defender实时保护，漏洞仍可被利用。（defender：还好还好，不能全怪在我身上）
补丁
微软经典拆东墙补西墙，这边补丁也是bug频出（但至少把漏洞修好了）
微软已于2026年7月8日发布修复补丁，将Microsoft恶意软件防护引擎更新至 1.1.26060.3008 版本。该更新通过Defender安全智能更新自动分发。
bug：
内存泄漏：新代码在尝试打开文件时会产生8字节的内存泄漏。
写在最后
其实本质上现在杀毒软件都有些问题，但是他们能在漏洞被大规模利用前完成修复。
defender就进入了一系列悖论：
权限悖论：杀毒软件需要最高权限才能保护系统，但最高权限也意味着一旦被攻破，危害最大。
检测盲区：Defender作为系统核心组件，其他安全工具往往对其行为"网开一面"，形成检测盲区。
补充声明
本人并非及其专业网络安全员，文章自有纰漏，请好好说话指出，根据医学研究表明，发怒对您自己身体有一定危害。
资料来源
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50656
https://www.cyderes.com/howler-cell/rogueplanet-windows-zero-day
https://research.splunk.com/stories/rogueplanet/
https://www.picussecurity.com/resource/blog/rogueplanet-anatomy-of-the-nightmare-eclipse-microsoft-defender-zero-day
https://www.threatlocker.com/blog/microsoft-defender-zero-day-rogueplanet-grants-system-privileges
https://hivesecurity.gitlab.io/blog/rogueplanet-windows-defender-lpe-race-condition/
https://www.theregister.com/security/2026/07/09/microsoft-closes-book-on-nightmare-eclipses-rogueplanet-zero-day/5269280
https://www.securityweek.com/new-windows-zero-day-exploit-rogueplanet-released/amp/
https://cybersecuritynews.com/windows-defender-0-day-exploit-rogueplanet/
https://www.morphisec.com/blog/microsoft-defender-zero-day-rogueplanet-when-your-detector-becomes-the-attack-surface/
资料由Kimi，deepseek等AI做部分总结。
求L币（助力我超过colorful_clay!!
