🚨 CVE-2026-50656 — Microsoft Defender "RoguePlanet"

Microsoft 恶意软件保护引擎中的权限提升漏洞

⚠️ 仅供教育和防御性安全研究使用

📖 概述

CVE-2026-50656 是一个影响 Microsoft Defender 所使用的 Microsoft 恶意软件保护引擎 的高严重性 权限提升 (EoP) 漏洞。

该漏洞公开名称为 RoguePlanet，源于一个 不正确的链接解析问题 (CWE-59)，可能允许低权限本地攻击者在受影响的 Windows 系统上提升权限。

🎯 影响

成功利用可能使攻击者能够：

• 从标准用户账户提升权限
• 获得提升的系统权限
• 访问受限文件
• 修改受保护的系统资源
• 可能实现完全系统沦陷

🏹 攻击向量

AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

🔬 技术细节

漏洞类别

该漏洞归类为：

CWE-59
在文件访问前不正确的链接解析
(链接跟随)

此类漏洞发生在特权进程与可通过以下方式重定向的文件系统对象交互时：

• 符号链接
• 硬链接
• 连接点
• 重解析点

不当验证可能导致特权操作被重定向到攻击者控制的位置。

⚙️ 受影响组件

Microsoft 恶意软件保护引擎
mpengine.dll

被以下产品使用：

• Microsoft Defender 防病毒
• Microsoft Defender for Endpoint
• Microsoft Security Essentials
• 其他 Microsoft 安全产品

🧠 攻击流程

低权限用户
        │
        ▼
创建链接/连接点/重解析点
        │
        ▼
触发 Defender 引擎操作
        │
        ▼
特权文件访问
        │
        ▼
权限提升
        │
        ▼
SYSTEM 级影响

🔍 检测机会

Windows 事件日志

监视：

意外的权限提升事件

Defender 引擎异常

可疑的重解析点创建

符号链接滥用

Microsoft Defender XDR

潜在的威胁狩猎指标：

DeviceFileEvents
| where ActionType contains "FileCreated"
| where FileName endswith ".lnk"

重解析点监控

PowerShell：

Get-ChildItem -Path C:\ -Recurse -Force |
Where-Object {
    $_.Attributes -match "ReparsePoint"
}

🛡️ 缓解措施

在官方安全更新部署之前：

限制本地访问

减少具有本地登录能力的用户数量。

加固端点

• 启用篡改保护
• 启用 EDR
• 启用攻击面减少规则

监控文件系统活动

监视：

• 连接点创建
• 符号链接创建
• 重解析点修改

应用厂商补丁

发布后立即安装 Microsoft 安全更新。

🧪 验证检查表

🔥 威胁建模

ATT&CK 映射

📊 风险评估

🚨 可疑活动指标

异常的 Defender 活动

mpengine.dll
MsMpEng.exe

意外访问：

C:\Windows\System32\

连接点/重解析点滥用

dir /AL /S

符号链接

dir /A:L

📚 参考

• Microsoft 安全响应中心 (MSRC)
• CVE 计划
• MITRE ATT&CK
• Microsoft Defender 文档

⚠️ 免责声明

本仓库提供用于：

• 安全意识
• 漏洞管理
• 蓝队研究
• 防御性安全运营

不适用于未经授权的访问、利用或攻击性活动。