🚨 CVE-2026-50656 — Microsoft Defender "RoguePlanet"

Уязвимость повышения привилегий в механизме защиты от вредоносных программ Microsoft

⚠️ Только для образовательных и защитных исследований в области безопасности

📖 Обзор

CVE-2026-50656 — это уязвимость повышения привилегий (EoP) высокой степени серьезности, затрагивающая механизм защиты от вредоносных программ Microsoft, используемый Microsoft Defender.

Эта уязвимость, публично известная как RoguePlanet, возникает из-за проблемы неправильного разрешения ссылок (CWE-59), которая может позволить локальному злоумышленнику с низкими привилегиями повысить привилегии на уязвимых системах Windows.

🎯 Влияние

Успешная эксплуатация может позволить атакующему:

• Повысить привилегии с учетной записи обычного пользователя
• Получить повышенные системные разрешения
• Получить доступ к ограниченным файлам
• Изменить защищенные системные ресурсы
• Потенциально добиться полной компрометации системы

🏹 Вектор атаки

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

🔬 Технические детали

Класс уязвимости

Уязвимость классифицируется как:

CWE-59
Improper Link Resolution Before File Access
(Link Following)

Этот класс уязвимости возникает, когда привилегированные процессы взаимодействуют с объектами файловой системы, которые могут быть перенаправлены с помощью:

• Символические ссылки
• Жесткие ссылки
• Точки соединения
• Точки повторной обработки

Неправильная проверка может привести к перенаправлению привилегированных операций на управляемые злоумышленником местоположения.

⚙️ Затронутый компонент

Microsoft Malware Protection Engine
mpengine.dll

Используется:

• Microsoft Defender Antivirus
• Microsoft Defender for Endpoint
• Microsoft Security Essentials
• Другие продукты безопасности Microsoft

🧠 Схема атаки

Low Privileged User
        │
        ▼
Create Link/Junction/Reparse Point
        │
        ▼
Trigger Defender Engine Operation
        │
        ▼
Privileged File Access
        │
        ▼
Privilege Escalation
        │
        ▼
SYSTEM-Level Impact

🔍 Возможности обнаружения

Журналы событий Windows

Отслеживайте:

Неожиданные события повышения привилегий

Аномалии в работе механизма Defender

Подозрительное создание точек повторной обработки

Злоупотребление символическими ссылками

Microsoft Defender XDR

Потенциальные индикаторы для охоты:

DeviceFileEvents
| where ActionType contains "FileCreated"
| where FileName endswith ".lnk"

Мониторинг точек повторной обработки

PowerShell:

Get-ChildItem -Path C:\ -Recurse -Force |
Where-Object {
    $_.Attributes -match "ReparsePoint"
}

🛡️ Смягчение

До развертывания официальных обновлений безопасности:

Ограничение локального доступа

Уменьшить количество пользователей, имеющих возможность локального входа.

Укрепление конечных точек

• Включить защиту от несанкционированного доступа
• Включить EDR
• Включить правила уменьшения поверхности атаки

Мониторинг активности файловой системы

Отслеживайте:

• Создание точек соединения
• Создание симлинков
• Изменения точек повторной обработки

Применение исправлений поставщика

Установите обновления безопасности Microsoft сразу после их выпуска.

🧪 Контрольный список проверки

🔥 Моделирование угроз

Сопоставление с ATT&CK

📊 Оценка рисков

🚨 Индикаторы подозрительной активности

Необычная активность Defender

mpengine.dll
MsMpEng.exe

Неожиданный доступ к:

C:\Windows\System32\

Злоупотребление точками соединения/повторной обработки

dir /AL /S

Символические ссылки

dir /A:L

📚 Ссылки

• Microsoft Security Response Center (MSRC)
• CVE Program
• MITRE ATT&CK
• Microsoft Defender Documentation

⚠️ Отказ от ответственности

Этот репозиторий предоставлен для:

• Повышения осведомленности в области безопасности
• Управления уязвимостями
• Исследований синей команды
• Операций защитной безопасности

Он не предназначен для несанкционированного доступа, эксплуатации или наступательных действий.