Update: Patch verfügbar RoguePlanet verschafft SYSTEM-Rechte trotz Juni-Patchday

Mit „RoguePlanet“ hat ein anonymer Sicherheitsforscher einen Exploit veröffentlicht, der lokalen Angreifern auf Windows 10 und Windows 11 über eine Race Condition im Defender-Echtzeitscanner SYSTEM-Rechte verschafft. Mittlerweile hat Microsoft ein Sicherheitsupdate veröffentlicht, das die Schwachstelle behebt.

Ein als „Nightmare Eclipse“ bekannter Sicherheitsforscher hat wenige Stunden nach dem Juni-Patchday einen funktionsfähigen Exploit gegen Microsoft Defender veröffentlicht. Der Code mit dem Namen „RoguePlanet“ zielt auf eine Race Condition im Echtzeitschutz und startet nach erfolgreichem Angriff eine Eingabeaufforderung im Kontext von NT AUTHORITY\SYSTEM. Die Schwachstelle trägt inzwischen die Kennung EUVD-2026-37141 / CVE-2026-50656 (CVSS-Score 7.8, EPSS-Score^* 3.39). Betroffen sind vollständig aktualisierte Installationen von Windows 10 und Windows 11, darunter Systeme mit dem kumulativen Update KB5094126 aus dem Juni 2026.

Microsoft Patchday Juni 2026

Aktive Exploits und ein Zero-Day dominieren Juni-Patchday

Der Patch: Malware Protection Engine 1.1.26060.3008

Am 8. Juli 2026 hat Microsoft den Security Guide aktualisiert und darüber informiert, die Schwachstelle behoben zu haben. Der Patch findet sich in Microsoft Malware Protection Engine Version 1.1.26060.3008. Die zuvor verwundbare letzte Engine-Version war 1.1.26050.11. Dabei handelt es sich um ein Update der zentralen Scan-Engine, die Microsoft Defender und weitere Microsoft-Sicherheitsprodukte (unter anderem Microsoft System Center Endpoint Protection und Microsoft Security Essentials) antreibt. Laut Microsoft enthält das Update zusätzlich Defense-in-Depth-Verbesserungen an sicherheitsrelevanten Funktionen.

Da Microsoft Defender standardmäßig sowohl Virendefinitionen als auch die Malware Protection Engine automatisch aktualisiert, sind die meisten Privatnutzer bereits geschützt, ohne selbst aktiv werden zu müssen. Wer sichergehen möchte, kann die Engine-Version wie folgt überprüfen:

• 1. Start-Button klicken, „Sicherheit" eingeben und „Windows-Sicherheit“ aus den Ergebnissen auswählen

• 2. „Viren- & Bedrohungsschutz“ auswählen, dort unter „Updates für Viren- & Bedrohungsschutz“ auf „Nach Updates suchen“ klicken

• 3. Auf das Zahnrad-Symbol („Einstellungen“) klicken, dann „Info“ auswählen

• 4. Nach der Zeile „Engine-Version“ suchen. Diese Nummer gibt die verwendete Version der Malware Protection Engine an

Ist die Engine-Version 1.1.26060.3008 oder höher, läuft auf dem System die gepatchte (oder eine neuere) Engine. Liegt die Engine-Version bei 1.1.26050.11 oder niedriger, läuft auf dem System noch eine verwundbare Version. In diesem Fall sollte über Windows Update erneut nach Defender-Updates gesucht oder auf die automatische Aktualisierung gewartet werden.

Interessant: Microsoft weist im offiziellen FAQ darauf hin, dass auch Systeme mit deaktiviertem Defender von Schwachstellen-Scannern fälschlicherweise als verwundbar gemeldet werden können. Die Defender-Dateien bleiben auch bei deaktiviertem Schutz auf der Festplatte, ein deaktiviertes System befindet sich laut Microsoft jedoch nicht in einem ausnutzbaren Zustand.

Race Condition im Echtzeitscanner

Der Angriff nutzt ein Zeitfenster zwischen der Prüfung einer Datei und ihrer weiteren Verarbeitung durch den Defender-Scanner. In dieser Time-of-Check-to-Time-of-Use-Lücke (TOCTOU) tauscht der Exploit Inhalte aus und bringt die mit hohen Rechten laufende Scan-Komponente dazu, eine Shell als Systemkonto zu öffnen. Da es sich um eine Race Condition handelt, gelingt der Angriff nicht bei jedem Versuch. Nach Angaben des Forschers erreicht der Code auf manchen Maschinen eine Trefferquote von hundert Prozent, auf anderen Geräten bleibt das Ergebnis unzuverlässig. Ein Angreifer mit lokalem Zugang wiederholt den Vorgang jedoch so lange, bis das Zeitfenster trifft.

Vom RCE-Ansatz zur lokalen Rechteausweitung

RoguePlanet entstand ursprünglich als Remote-Code-Execution. Die frühe Variante setzte darauf, dass ein Opfer eine VHD- oder VHDX-Datei von einer entfernten SMB-Freigabe öffnet. Defender überschrieb dabei eigene Dateien, woraus sich eine Codeausführung aus der Ferne ergab. Microsoft härtete die betroffene Schnittstelle mpengine!SysIO im Mai ab und blockierte damit den Weg über Junctions. Der Forscher baute den Exploit daraufhin zur lokalen Rechteausweitung um. Auf Windows Server greift der Code in der aktuellen Form nicht, nach seiner Einschätzung bleibt das zugrunde liegende Problem dort über einen angepassten Angriffsweg aber relevant.

EUVD-2026-22643 / CVE-2026-33825

Sicherheitslücke in Microsoft Defender wird aktiv ausgenutzt

Schutzmaßnahmen für Endpunkte

Anwendungssteuerung über Allowlisting verhindert die Ausführung des Exploits. Nach Angaben von ThreatLocker, das den Fehler im eigenen Labor reproduziert hat, blockiert eine erzwungene Freigabeliste mit WDAC oder AppLocker den Start des Codes. Administratoren überwachen zusätzlich interaktive Shells und Skripthosts, die mit Systemrechten laufen und als Elternprozess MsMpEng.exe besitzen. Defender startet eine solche Shell im Normalbetrieb nicht, der Befund deutet daher auf einen Angriff hin. Belege für eine aktive Ausnutzung liegen bislang nicht vor. Frühere Exploits desselben Forschers, darunter BlueHammer und RedSun, tauchten bereits in realen Angriffsketten auf.

Nach Angaben des Forschers griff signaturbasierte Erkennung nicht zuverlässig. Kleine Anpassungen am Exploit umgingen die Signaturen, und der Angriff funktionierte auch bei deaktiviertem Echtzeitschutz. In der Zeit ohne Patch blieb Anwendungssteuerung per Allowlisting mit WDAC oder AppLocker daher die wirksamste Zusatzmaßnahme.

Rund drei Wochen ohne Fix

Microsoft hat die Lücke am 16.06.2026 offiziell bestätigt und im Security Update Guide veröffentlicht. Der Hersteller stuft den Fehler im Microsoft Malware Protection Engine als Elevation of Privilege mit dem Schweregrad Important ein und gibt einen CVSS-Score von 7.8 an. In der Klassifizierung führt Microsoft die Schwachstelle unter CWE-59 (Improper Link Resolution Before File Access), also als Link-Following-Problem, und damit anders als die im Forscher-Code betonte Race Condition.

Zum Zeitpunkt dieser Bestätigung lag jedoch noch kein Patch vor. Laut Microsofts eigener Einstufung war eine Ausnutzung „more likely“, eine tatsächliche aktive Ausnutzung wurde zu diesem Zeitpunkt jedoch nicht gemeldet. In der Praxis bedeutete das: Rund drei Wochen lang blieben vollständig aktualisierte Windows-10- und Windows-11-Systeme gegenüber RoguePlanet verwundbar, bis zum Fix am 8. Juli.

Fazit

RoguePlanet zielt erneut auf den Echtzeitschutz des Defenders und zeigt, dass eine TOCTOU-Lücke trotz aktueller Patches Systemrechte freigibt. Microsoft bewertet eine Ausnutzung als wahrscheinlich. Solange der Hersteller keine eigene Korrektur des Programmcodes liefert, bleibt die signaturbasierte Erkennung die einzige direkte Antwort auf den Code. Anwendungssteuerung per Allowlisting begrenzt die Wirkung des Exploits unabhängig vom Ausgang der Race Condition.

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Sicherheitseinstellungen für Authentifizierung, Logging und Defender

Security Baseline für Windows Server 2025 richtig umsetzen

(ID:50871329)