Опубликован эксплойт RoguePlanet для Microsoft Defender, позволяющий получить права SYSTEM

Исследователи безопасности опубликовали новый эксплойт под названием RoguePlanet, который позволяет повысить привилегии в Windows до уровня NT AUTHORITY\SYSTEM — максимального уровня доступа в операционной системе.

Уязвимость получила идентификатор CVE-2026-50656 и была подтверждена компанией Microsoft. Согласно описанию, проблема затрагивает движок защиты от вредоносного ПО Microsoft Defender и относится к классу уязвимостей повышения привилегий (Elevation of Privilege, EoP).

В официальном сообщении Microsoft говорится:

«Microsoft известно о публично раскрытой уязвимости повышения привилегий в Microsoft Malware Protection Engine, известной как RoguePlanet. Мы работаем над выпуском качественного обновления безопасности, устраняющего данную проблему».

Что позволяет RoguePlanet​

В случае успешной эксплуатации злоумышленник может повысить права с обычной пользовательской учётной записи до NT AUTHORITY\SYSTEM. Это даёт полный контроль над системой, включая возможность:

• запускать процессы с максимальными привилегиями;
• изменять системные настройки;
• устанавливать вредоносное ПО;
• отключать средства защиты;
• получать доступ к данным других пользователей.

При этом для эксплуатации не требуются права администратора или сложные методы взлома — достаточно локального доступа к системе под обычной учётной записью.

Эксплуатация зависит от «гонки»​

Опубликованный PoC-эксплойт использует состояние гонки (race condition), поэтому его успешность зависит от точного совпадения нескольких операций во времени.

Автор исследования отметил, что на одних системах ему удалось добиться практически 100-процентного успеха эксплуатации, тогда как на других воспроизвести атаку оказалось значительно сложнее.

По словам исследователя, проблема находится в высокоуровневой части кода Microsoft Defender, что может объяснять заявление Microsoft о необходимости подготовки «качественного обновления безопасности», а не срочного выпуска временного исправления.

Исследователь уже находил аналогичные уязвимости​

Автор RoguePlanet ранее сообщил Microsoft о нескольких других уязвимостях в Microsoft Defender:

• BlueHammer (CVE-2026-33825);
• UnDefend (CVE-2026-45498);
• RedSun (CVE-2026-41091).

Кроме того, исследователь раскрыл ещё четыре уязвимости нулевого дня в Windows, которые впоследствии были исправлены Microsoft.

Как защититься​

На данный момент патч для CVE-2026-50656 отсутствует. Microsoft работает над обновлением безопасности и обещает опубликовать дополнительную информацию после выпуска исправления.

До выхода патча специалисты рекомендуют:

• установить обновление сразу после его публикации;
• регулярно создавать резервные копии важных данных;
• избегать запуска исполняемых файлов из непроверенных источников;
• не полагаться исключительно на Microsoft Defender в качестве единственного средства защиты.

Компания Malwarebytes заявила, что её продукты уже способны обнаруживать и блокировать опубликованный эксплойт RoguePlanet.exe по его поведению.

Почему это важно​

RoguePlanet представляет серьёзную угрозу, поскольку сочетает сразу несколько факторов риска: публично доступный эксплойт, возможность получения максимальных системных привилегий и отсутствие официального исправления. Хотя для эксплуатации необходим локальный доступ к системе, подобные уязвимости часто используются на поздних этапах атак для закрепления в системе и полного её компрометирования.

Источник