Il 9 luglio 2026 Microsoft ha distribuito la versione 1.1.26060.3008 del Microsoft Malware Protection Engine, l'aggiornamento che corregge CVE-2026-50656, la vulnerabilità zero-day conosciuta come RoguePlanet. La falla trasformava l'antivirus built-in di Windows in un'arma contro il sistema stesso: qualsiasi utente locale, anche senza privilegi amministrativi, poteva innescare una race condition nel modulo mpengine.dll e ottenere una shell con privilegi NT AUTHORITY\SYSTEM. La posta in gioco non è solo tecnica: le aziende controllano meticolosamente gli aggiornamenti del sistema operativo, ma spesso ignorano le versioni del motore antivirus, creando un blind spot nella supply chain interna di sicurezza.
- CVE-2026-50656 è una elevation of privilege locale con CVSS 7.8 (HIGH): un utente standard conquista SYSTEM senza interazione della vittima né privilegi pregressi.
- Il fix arriva come aggiornamento silenzioso dell'Microsoft Malware Protection Engine, non come patch Windows tradizionale: la versione 1.1.26060.3008 corregge la falla.
- L'exploit funziona indipendentemente dallo stato della Protezione in tempo reale di Defender, secondo le prove di concept pubblicate dal ricercatore.
- Microsoft non ha rilevato sfruttamento attivo in-the-wild al momento della pubblicazione, ma ha classificato la vulnerabilità come "Exploitation More Likely".
Come funziona la race condition nel motore antivirus
Il Microsoft Malware Protection Engine, il cuore di Windows Defender, scansiona continuamente i file sul disco alla ricerca di minacce. La vulnerabilità CVE-2026-50656, classificata CWE-59 Improper Link Resolution Before File Access, sfrutta la competizione temporale tra le operazioni del file system e la scansione antimalware. Un attaccante posiziona un link simbolico o un junction point in un percorso che il motore analyzerà, inducendo mpengine.dll a risolvere il riferimento in una finestra di tempo controllata.
Il risultato è l'esecuzione di codice con i privilegi del servizio antivirus, che gira come SYSTEM. Secondo l'advisory Microsoft, l'ultima versione vulnerabile confermata è la 1.1.26050.11; la correzione definitiva è la 1.1.26060.3008. Il vector CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H conferma la bassa complessità d'attacco e l'assenza di interazione utente necessaria.
Il "Patch Tuesday paradox": quando l'update non è un update
La correzione di RoguePlanet non segue il ciclo classico del Patch Tuesday. Non è un aggiornamento cumulativo di Windows, non richiede riavvio, non compare nei report WSUS come patch critica tradizionale. Il motore antivirus si aggiorna automaticamente attraverso un canale separato, spesso invisibile agli amministratori enterprise che monitorano solo gli OS update. Microsoft dichiara esplicitamente: "no customer action is required".
Questo pattern, però, genera un'assimetria di visibilità. I team di sicurezza verificano la versione di Windows, di Office, dei componenti core; raramente tracciano il numero di build di mpengine.dll. Il ricercatore Chaotic Eclipse, noto anche come Nightmare Eclipse, ha documentato che l'exploit funziona "regardless of whether real-time protection is on or not": la sola presenza del motore sul sistema, anche con Defender apparentemente disattivato, espone la macchina se i file binari non sono stati aggiornati.
"Microsoft is aware of an elevation of privilege in the Microsoft Malware Protection Engine in Microsoft Defender publicly referred to as 'RoguePlanet'" — record CVE-2026-50656, CVE.org
Il ricercatore, il leak post-patch e i limiti del dossier
Il ricercatore non è stato accreditato da Microsoft per la scoperta, nonostante la pubblicazione di una proof-of-conception funzionante. Secondo quanto riportato da TurboLab.it, Chaotic Eclipse ha descritto l'exploit come "un colpire o meno", con tassi di successo variabili tra macchine diverse: su alcune il 100%, su altre instabile. Dopo il rilascio della versione 1.1.26060.3008, il ricercatore ha segnalato un information leak residuo di 8 byte, limitato per ora a driver e non accessibile come utente standard. Microsoft non ha confermato questa segnalazione post-patch.
Il dossier non chiarifica se un vettore RCE precedente via SMB con file .vhd/.vhdx, descritto in fonti non corroborate, sia stato completamente eliminato dalla correzione di maggio 2026 o solo parzialmente mitigato. Non è noto se varianti dell'exploit possano funzionare su Windows Server: il ricercatore sostiene che la vulnerabilità sottostante esista, ma la PoC attuale non è compatibile. L'identità esatta — Nightmare Eclipse o Chaotic Eclipse, persona singola o collaborazione — resta non verificata dalle fonti primarie.
Cosa fare adesso
- Verificare la versione del Microsoft Malware Protection Engine tramite PowerShell: il comando
Get-MpComputerStatusrestituisce il campoEngineVersion, che deve risultare 1.1.26060.3008 o superiore. - Controllare che le policy di rete aziendali non blocchino gli update automatici del motore antivirus, separatamente dal canale Windows Update: i firewall outbound e i proxy possono interferire con la distribuzione silenziosa.
- Auditare i sistemi con antivirus terzi attivi dove Defender risulta disabilitato: la protezione passiva del motore potrebbe comunque essere aggiornata, ma va verificato che i file binari siano alla versione corretta.
- Monitorare le segnalazioni post-patch sul information leak di 8 byte: fino a conferma ufficiale, trattarle come attenzione non come azione correttiva immediata.
Perché RoguePlanet riapre il dibattito sul blind spot antivirus
La serialità delle scoperte del ricercatore — BlueHammer, RedSun, UnDefend, ora RoguePlanet — disegna un pattern preoccupante: il motore antivirus Microsoft, progettato per isolare e neutralizzare minacce esterne, espone una superficie d'attacco interna amplissima. Ogni scansione file richiede parsing, decompressione, risoluzione di link: operazioni ad alto privilegio su input non fidati.
Le aziende hanno investito anni a standardizzare il patch management del sistema operativo. L'engine Defender, però, vive in un regime giuridico amministrativo diverso: si aggiorna in background, senza change advisory board, spesso senza log di sicurezza dettagliati. La correzione di RoguePlanet è un successo tecnico; è anche un campanello d'allarme su chi controlla, chi verifica, chi sa che cosa gira con privilegi SYSTEM oltre il kernel stesso.
Fonti
- https://turbolab.it/sicurezza-13/upd-patch-disponibile-rogueplanet-nuova-vulnerabilita-zero-day-microsoft-defender-concede-privilegi-system-windows-11-4784
- https://thehackernews.com/2026/07/microsoft-patches-rogueplanet-defender.html
- https://www.malwarebytes.com/blog/news/2026/07/microsoft-fixes-rogueplanet-zero-day-in-defender
- https://www.helpnetsecurity.com/2026/06/17/rogueplanet-zero-day-cve-2026-50656/
- https://www.brightnexus.com/cybersecurity-advisory/article/2873/microsoft-patches-rogueplanet-defender-zero-day-vulnerability
- https://www.cve.org/CVERecord?id=CVE-2026-50656
- https://nvd.nist.gov/vuln/detail/CVE-2026-50656
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50656
- https://www.helpnetsecurity.com/2026/04/08/bluehammer-windows-zero-day-exploit-leaked/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.