Windows Defender 0-Day „RoguePlanet“: Exploit gewährt SYSTEM-Zugriff auf vollständig gepatchten Systemen
Nur Stunden nach dem Juni-2026-Patch-Tuesday hat der Sicherheitsforscher Nightmare Eclipse (auch bekannt als Chaotic Eclipse oder Dead Eclipse) einen neuen Proof-of-Concept-Exploit namens RoguePlanet auf GitHub veröffentlicht. Die Lücke betrifft Windows Defender auf vollständig gepatchten Windows-10- und Windows-11-Systemen und ermöglicht es einem normalen Benutzer ohne Adminrechte, eine SYSTEM-Shell zu erlangen. Microsoft hat bislang weder eine CVE-Kennung noch ein öffentliches Advisory herausgegeben.
Was ist RoguePlanet?
RoguePlanet ist ein Local Privilege Escalation (LPE)-Exploit, der eine Race Condition (Zeitfenster-Lücke) in der internen Verarbeitungslogik von Microsoft Defender ausnutzt. Der Angriff basiert auf dem Prinzip des sogenannten TOCTOU (Time-of-Check to Time-of-Use): Defender läuft als SYSTEM-Prozess und führt dabei Dateioperationen durch. Zwischen dem Zeitpunkt, an dem Defender einen Dateipfad prüft, und dem Zeitpunkt, an dem er tatsächlich darauf zugreift, öffnet sich ein kurzes Zeitfenster. In diesem Moment leitet der Angreifer den Dateizugriff über NTFS-Junction-Points in ein privilegiertes Systemverzeichnis um und bringt Defender dazu, unter SYSTEM-Rechten Schadcode auszuführen.
Das Ergebnis: Eine Eingabeaufforderung mit den höchsten Windows-Privilegien, aus der heraus ein Angreifer beliebigen Code ausführen, Sicherheitssoftware deaktivieren oder dauerhaften Zugang zum System einrichten kann.
BleepingComputer hat den Exploit unabhängig getestet und dessen Funktionsfähigkeit auf vollständig gepatchten Windows-11-Systemen mit dem Update KB5094126 bestätigt.
Welche Systeme sind betroffen?
RoguePlanet funktioniert auf vollständig gepatchten Systemen mit:
- Windows 10 (mit Juni-2026-Updates)
- Windows 11 (offizielle Releases, 23H2 bis 26H1, sowie Canary Insider Preview)
Windows Server ist von der zugrundeliegenden Schwachstelle zwar ebenfalls betroffen, das aktuelle PoC-Skript schlägt dort jedoch fehl, weil Standard-Benutzer auf Server-Systemen keine ISO-Images einbinden können. Diese Einschränkung betrifft nur das spezifische PoC-Design, nicht die Lücke selbst.
Einordnung: Die Nightmare-Eclipse-Saga
RoguePlanet ist bereits der siebte öffentlich veröffentlichte Exploit des Forschers seit Anfang April 2026. Die bisherigen Veröffentlichungen umfassen BlueHammer (CVE-2026-33825, CVSS 7.8, gepatcht April 2026), RedSun, UnDefend, YellowKey, GreenPlasma und MiniPlasma. Huntress hat frühere Werkzeuge des Forschers bereits in realen Angriffsketten beobachtet, bei denen BlueHammer, RedSun und UnDefend kombiniert eingesetzt wurden.
Microsoft hat im Juni-Patch-Tuesday GreenPlasma und YellowKey geschlossen. Als Reaktion darauf erschien RoguePlanet noch am selben Tag. Auf seinem Blog schreibt der Forscher, er habe seit Anfang Mai ohne Unterbrechung an dem Exploit gearbeitet und kündigt weitere unveröffentlichte Schwachstellen an, darunter einen Batch an Memory-Corruption-Lücken in Defender.
Der Exploit ist aufgrund der Race-Condition-Natur nicht deterministisch: Auf manchen Systemen erreicht der Forscher nach eigenen Angaben eine Erfolgsquote von 100%, auf anderen schlägt der Exploit wiederholt fehl.
- Verdächtige Prozesse überwachen: Alle aus Defender-Prozessen (MsMpEng.exe) gestarteten Kind-Prozesse, insbesondere cmd.exe oder powershell.exe, sind als hochgradig verdächtig einzustufen und im SIEM zu alarmieren.
- ISO-Einbindung einschränken: Das Einbinden von ISO-Images durch Standardbenutzer via Gruppenrichtlinie oder AppLocker blockieren, da dies eine Voraussetzung des aktuellen PoC ist.
- Endpunkt-Telemetrie erhöhen: EDR-Lösungen auf ungewöhnliche NTFS-Junction-Points und anomale Schreibzugriffe durch Defender-Prozesse konfigurieren.
- Microsoft Security Update Guide beobachten: Sobald ein Notfall-Patch verfügbar ist, sofortige Verteilung priorisieren.
- Für besonders exponierte Umgebungen (öffentlich zugängliche Workstations, Shared Desktops, Kiosk-Systeme): Zusätzliche Härtungsmaßnahmen prüfen, bis ein Patch vorliegt.
