🔨 CVE-2026-33825: BlueHammer

Повышение привилегий в Microsoft Defender

📌 Общее описание

Уязвимость CVE-2026-33825, получившая название "BlueHammer", представляет собой критическую ошибку локального повышения привилегий (EoP) в механизме устранения угроз Microsoft Defender.

🚨 Критическое воздействие: Позволяет пользователю с минимальными привилегиями получить полный доступ уровня SYSTEM на полностью пропатченных системах Windows 10 и 11.

Обнаружение: Была публично раскрыта как Zero-Day 7 апреля 2026 года исследователем под псевдонимом "Chaotic Eclipse" до того, как Microsoft выпустила официальный патч.

📊 Сведения о критичности (CVSS v3.1)

🔍 Технический анализ: атака BlueHammer

Уязвимость основана на гонке состояний TOCTOU (Time-of-Check to Time-of-Use) в механизме очистки от вредоносных программ Defender.

Схема эксплуатации:

1️⃣ АКТИВАЦИЯ
   └─ Атакующий размещает файл, который Defender определяет как вредоносное ПО

2️⃣ ПАУЗА (Oplock)
   └─ Пока Defender запускает устранение (удаление или карантин),
      эксплойт использует оппортунистическую блокировку (oplock) NTFS
      для приостановки операции в критической точке

3️⃣ ПЕРЕНАПРАВЛЕНИЕ
   └─ Во время паузы эксплойт создаёт точку соединения (junction point)
      NTFS, которая перенаправляет путь Defender к критическим файлам
      системы (например, C:\Windows\System32)

4️⃣ ВЫПОЛНЕНИЕ
   └─ При снятии блокировки Defender (с привилегиями SYSTEM) записывает
      или перезаписывает файлы в перенаправленном расположении
   └─ Результат: замена легитимных бинарных файлов вредоносным кодом
                 или извлечение конфиденциальных файлов (SAM, пароли)

💻 Затронутые системы и компоненты

🛠️ Устранение и смягчение последствий

Microsoft исправила эту уязвимость в рамках Patch Tuesday за апрель 2026 года.

✅ 1. Автоматическое обновление

В отличие от других патчей, обновления Microsoft Defender обычно применяются автоматически через платформу сигнатур.

Рекомендуемые действия:

• Убедитесь, что версия вашей платформы ≥ 4.18.26050.3011
• Включите автоматические обновления Defender

✅ 2. Проверка безопасности

• Обратитесь к Security Update Guide от Microsoft, чтобы подтвердить состояние вашей системы
• Используйте сканеры уязвимостей, такие как Nessus (Plugin ID: 306740), для выявления непропатченных устройств в вашей сети
• Проводите регулярные аудиты версий Defender в вашей инфраструктуре

🔗 Ссылки и ресурсы

• 📄 Подробный технический анализ — Picus Security
• 🚨 Раннее предупреждение — INCIBE-CERT
• 📋 Сводка патчей за апрель 2026 — SecurityWeek
• 🔐 Security Update Guide — Microsoft Official

⚖️ Отказ от ответственности

⚠️ Данный документ предназначен исключительно для образовательных целей и исследований в области безопасности.

Никогда не запускайте эксплойты в системах без явного разрешения.

Несанкционированное использование техник эксплуатации незаконно и может привести к серьёзным правовым последствиям.

Последнее обновление: Апрель 2026 | Статус: Исправлено ✅