Nowa luka zero-day w Microsoft Defender, nazwana RoguePlanet, pozwala na uzyskanie uprawnień SYSTEM nawet na w pełni zaktualizowanych systemach Windows. Opublikowany exploit PoC pokazuje, że zabezpieczenia mogą zostać ominięte mimo instalacji najnowszych poprawek. Sprawdź, na czym polega podatność i jakie może mieć konsekwencje.
RoguePlanet: luka zero-day w Microsoft Defender działa mimo aktualizacji Patch Tuesday
10 czerwca 2026 roku anonimowy badacz bezpieczeństwa działający pod pseudonimem Chaotic Eclipse (Nightmare-Eclipse) opublikował exploit typu Proof of Concept dla nowej podatności zero-day w Microsoft Defender. Luka, nazwana RoguePlanet, została ujawniona w sposób zsynchronizowany z czerwcową paczką aktualizacji Patch Tuesday, co dodatkowo zwiększa jej znaczenie w kontekście aktualnego poziomu zabezpieczeń systemów Windows.
Najbardziej niepokojący jest fakt, że podatność działa również na systemach, które zostały już zaktualizowane, w tym na Windows 10 i Windows 11 z zainstalowanymi poprawkami z czerwca 2026 roku. Oznacza to, że standardowe podejście polegające na regularnym aktualizowaniu systemu nie eliminuje ryzyka podatności.
Na czym polega podatność RoguePlanet
RoguePlanet wykorzystuje mechanizm race condition, czyli sytuację, w której dwa procesy próbują jednocześnie wykonać operacje na tych samych zasobach. W odpowiednich warunkach pozwala to na obejście mechanizmów bezpieczeństwa i eskalację uprawnień. Według autora exploita skuteczność ataku zależy od konkretnej konfiguracji systemu – na części urządzeń osiąga on nawet 100% powodzenia, podczas gdy na innych działa mniej stabilnie. W przypadku udanego wykorzystania podatności atakujący uzyskuje dostęp do powłoki systemowej z uprawnieniami SYSTEM, co daje praktycznie pełną kontrolę nad urządzeniem.
Co oznacza uzyskanie uprawnień SYSTEM
Dostęp na poziomie SYSTEM to najwyższy możliwy poziom uprawnień w systemie Windows. W praktyce oznacza to możliwość:
- wykonywania dowolnego kodu w systemie,
- instalowania dodatkowego złośliwego oprogramowania,
- modyfikowania ustawień zabezpieczeń,
- uzyskania trwałego dostępu do urządzenia,
- dalszego przemieszczania się w sieci organizacji.
Tego typu podatności są szczególnie niebezpieczne, ponieważ mogą być wykorzystywane jako element większych scenariuszy ataku np. po wcześniejszym uzyskaniu dostępu do systemu przez phishing lub inne techniki.
Dlaczego ta luka jest szczególnie istotna
Największym problemem w przypadku RoguePlanet jest to, że dotyczy ona systemów uznawanych za w pełni zabezpieczone, czyli takich, które posiadają najnowsze aktualizacje bezpieczeństwa. Podważa to jedno z podstawowych założeń wielu organizacji, manowicie że aktualizacje eliminują większość istotnych zagrożeń. Publikacja działającego exploita PoC dodatkowo zwiększa ryzyko, ponieważ umożliwia jego analizę i potencjalne wykorzystanie przez innych atakujących. W takich przypadkach czas reakcji organizacji staje się kluczowy, nawet jeśli oficjalna poprawka nie jest jeszcze dostępna.
Jak skutecznie zarządzać ryzykiem związanym z podatnościami zero-day
W sytuacji, gdy podatność zero-day dotyczy kluczowego komponentu ochronnego, jakim jest Microsoft Defender, konieczne jest szersze spojrzenie na bezpieczeństwo niż tylko przez pryzmat aktualizacji. Kluczowe staje się monitorowanie zachowania systemów, wykrywanie anomalii oraz kontrola uprzywilejowanych operacji. Warto również zwrócić uwagę na mechanizmy ograniczające skutki ewentualnego ataku, takie jak segmentacja sieci, zasada najmniejszych uprawnień czy dodatkowe warstwy detekcji i reakcji (EDR/XDR).
RoguePlanet to przykład podatności, która jasno pokazuje, że nawet aktualne i pozornie zabezpieczone środowiska mogą być narażone na poważne zagrożenia. Możliwość uzyskania uprawnień SYSTEM sprawia, że luka może zostać wykorzystana jako kluczowy element zaawansowanych ataków. Dla organizacji oznacza to jedno: aktualizacje są niezbędne, ale same w sobie nie gwarantują bezpieczeństwa. Równie ważne jest monitorowanie, detekcja i szybka reakcja na potencjalne incydenty.
Źródła:
O autorze: Łukasz Lein
Product manager - Opiekun marki Symantec
Od blisko 10 lat w firmie Arkanet. Bacznie śledzi ruchy cyberprzestępczości w Polsce i na świecie, dzięki czemu wie, jak pomóc klientom zabezpieczyć swoją sieć firmową przed wszelkimi atakami. Z zamiłowania, po pracy, aktywny "piłkokopacz".
