Záplata Defenderu podle nálezce otevřela novou díru

Antivirus je program s nejvyššími právy, který čte každý soubor, na který uživatel sáhne. Když se v něm najde chyba, útočník má ideální cíl: nemusí nikam pronikat, stačí mu podstrčit soubor a nechat obranu, aby si ho přečetla sama. Přesně o takový případ jde u chyby, které se říká RoguePlanet.

Co RoguePlanet uměl

Chyba nese označení CVE-2026-50656 a sídlí v knihovně mpengine.dll, tedy v jádru vyhledávacího nástroje Microsoft Malware Protection Engine, na kterém Defender stojí. Její závažnost je ohodnocená číslem 7,8 z deseti.

Umožňovala takzvané zvýšení oprávnění: kdo už měl na počítači běžný účet, mohl si z něj otevřít příkazovou řádku s právy účtu SYSTEM, tedy nejvyššími, jaké Windows mají. Postup fungoval i na počítačích, které měly nainstalované všechny opravy z červnového úterního balíku, a nezáleželo na tom, jestli měl uživatel zapnutou ochranu v reálném čase. Pokusy chytit předváděcí kód podle vzorku byly podle rozboru bezpečnostní firmy Kudelski z velké části neúčinné.

Podstata chyby je v tom, jak vyhledávací nástroj vyhodnocuje odkazy na soubory při jejich prohlížení. Útočník využije souběh – krátký okamžik mezi tím, kdy Defender odkaz vyhodnotí, a tím, kdy podle něj sáhne na soubor. V té škvíře odkaz podstrčí jinam. Katalog softwarových slabin tenhle druh chyby vede pod číslem CWE-59.

Není to díra, kterou se dá dostat do počítače zvenčí. Útočník už na něm musí umět spustit svůj kód, ať jako přihlášený uživatel, nebo přes dřívější nákazu. RoguePlanet mu ale z takové pozice udělá správce celého stroje.

Měsíc do opravy

Chybu zveřejnil výzkumník vystupující pod přezdívkou Chaotic Eclipse, jinde uváděný jako Nightmare Eclipse, 10. června – i s funkčním předváděcím kódem. Microsoft ji uznal o týden později a opravu vydal 9. července, tedy měsíc po zveřejnění. Opravená verze nástroje má číslo 1.1.26060.3008.

Microsoft uvedl, že chyba není aktivně zneužívaná, ale že k tomu pravděpodobně dojde. Objevitele oficiálně neuvedl jako nálezce; ten na druhou stranu tvrdí, že firma jeho hlášení opakovaně odbyla.

Aktualizace nechodí přes obvyklé úterní záplaty, ale vlastní cestou. Microsoft k tomu píše, že „výchozí nastavení antimalwarového softwaru pomáhá zajistit, že definice malwaru i vyhledávací nástroj zůstávají automaticky aktuální“ (přeloženo z angličtiny). Kdo si automatické aktualizace vypnul, musí je spustit ručně a ověřit si číslo verze.

Tvrzení, kvůli kterému se o věci mluví dál

Tři dny po vydání opravy oznámil tentýž výzkumník, že nová obrana přinesla nový problém. Podle něj mitigace, které Microsoft označuje za „aktualizace hloubkové obrany“, dovolí Defenderu při některých operacích se soubory vyzradit osm bajtů dat.

Samo o sobě je to málo. Zajímavé to začne být ve spojení s dalšími dvěma díly. Prvním je SpyNet, cloudová služba, které Defender posílá podezřelé soubory k rozboru. Druhým jsou alternativní datové proudy NTFS – málo známá vlastnost souborového systému Windows, díky které může jeden soubor nést vedle svého obsahu ještě další, skryté proudy dat. Windows je používají třeba ke značce Zone.Identifier, podle které poznají, že soubor přišel z internetu.

A právě tady je podle výzkumníka jádro věci: funkce spojené se SpyNetem si prý ukládají místní kopii dat ze Zone.Identifier bez ohledu na to, jak je proud velký. Běžný strop na velikost souboru se tím obejde. Útočník tak může Defender donutit, aby si do karantény odložil obrovské soubory, zaplnil systémový disk a přivedl Windows do stavu, kdy se chovají nevyzpytatelně.

Co na tom zatím nesedí

Tady je namístě opatrnost. Nové tvrzení stojí zatím jen na slovu jednoho člověka. Microsoft se k němu nevyjádřil a chyba nemá přidělené vlastní označení CVE.

Postup navíc není zdaleka pohodlný: podle popisu si žádá vlastní server SMB, tedy sdílení souborů po síti pod kontrolou útočníka. Cestu ke zneužití na dálku výzkumník teprve hledá. K únikům samotným dodává (v překladu z angličtiny): „Pořád hledám způsob, jak se k vyzrazeným bajtům dostat jako běžný uživatel, zatím data unikají jen ovladačům.“ Jinými slovy, v téhle podobě to není nic, co by šlo spustit jedním kliknutím.

Chování se mu podle jeho slov podařilo zopakovat na nejnovějších sestaveních Windows 11 25H2 a Windows Serveru 2025.

Co s tím teď

Opravu na původní chybu má smysl mít nainstalovanou v každém případě. Ta je potvrzená, má přidělené označení a veřejně dostupný předváděcí kód – to je hmatatelné riziko. Nové tvrzení je zatím nepotvrzené a i podle popisu vyžaduje podmínky, které běžný uživatel nesplňuje.

Ověření je jednoduché: v Zabezpečení Windows, v části Ochrana před viry a hrozbami, se pod odkazem na aktualizace ochrany zobrazí verze vyhledávacího nástroje. Musí být 1.1.26060.3008 nebo vyšší.

Zbytek je připomínka staré nepříjemné pravdy: bezpečnostní software je sám kusem kódu s nejvyššími právy. Každá jeho vrstva navíc je zároveň další plocha, na kterou se dá zaútočit – a to platí i pro vrstvu, která tam přibyla kvůli opravě.

Zdroje: Help Net Security k vydání opravy, The Hacker News TechSpot k tvrzení o nové chybě a technický rozbor Kudelski Security.