Microsoft hat am gestrigen Mittwoch seine Windows Malware Protection Engine aktualisiert, um sie besser gegen mögliche Angriffe auf die schon seit Mitte Juni bekannte „RoguePlanet“-Schwachstelle (CVE-2026-50656, CVSS-Base-Score 7.8) abzusichern. Im Zuge einer erfolgreichen Attacke könnten sich Angreifer über die Schwachstelle Systemrechte verschaffen.

CVE-2026-50656 betrifft Windows 10 und 11 und wurde schon am 10. Juni im Zuge des Definitionsupdates 1.453.20.0 erstmals von Microsoft ins Visier genommen. Unseren damaligen Experimenten zufolge jedoch nur rudimentär: Mit einer trivialen Änderung im Quelltext des Proof-of-Concept-Exploits hätte man den alten Patch in kürzester Zeit umgehen und erneut eine Shell mit Systemrechten ausführen können.

Die Malware Protection Engine ist als zentrale Virenschutz-Komponente Bestandteil des Windows Defender und verwandter Schutzlösungen in Microsoft-Produkten. Per Default passiert die Engine-Aktualisierung automatisch, sodass die Nutzer nichts tun müssen. Bei abweichenden Konfigurationen ist es ratsam, einen Blick auf den aktualisierten Sicherheitshinweis zu CVE-2026-50656 zu werfen.

Im Zweifel Engine-Version checken

Engine-Versionen ab einschließlich 1.1.26060.3008 sind laut MS gegen RoguePlanet abgesichert. Überprüfen kann man die Modulversion in Windows 10 und 11, indem man das Sicherheitscenter öffnet, dort in die Einstellungen wechselt und auf „Info“ klickt.

Unter „Modulversion“ gibt der Infobereich die aktuelle Version der Malware Protection Engine aus.

(Bild: Screenshot)

Zwist zwischen MS und „Nightmare Eclipse“

RoguePlanet ist eine von einer ganzen Reihe Windows betreffender Zero-Day-Schwachstellen, die ein Sicherheitsforscher mit dem Pseudonym „Nightmare Eclipse“ in den vergangenen drei Monaten nach und nach offenlegte.

Auf BlueHammer (CVE-2026-33825) im April waren RedSun (CVE-2026-41091), UnDefend (CVE-2026-45498), YellowKey (CVE-2026-45585) sowie GreenPlasma und MiniPlasma (beide zurückgehend auf CVE-2020-17103) gefolgt. In mehreren Fällen waren die ausführlich auf GitHub beschriebenen Schwachstellen für Angriffe ausgenutzt worden.

Einen Coordinated Vulnerability Disclosure (CVD)-Prozess, im Zuge dessen Hersteller verwundbarer Produkte üblicherweise vorab über Schwachstellen informiert werden, gab es laut Microsoft nicht. Der Konzern drohte deshalb mit Klagen und der Polizei. „Nightmare Eclipse“ stellte die Vorwürfe in Abrede.

Insbesondere ein MSRC-Blogpost mit dem Titel „A shared responsibility: Protecting customers through Coordinated Vulnerability Disclosure“, in dem der Konzern recht emotionsgeladen seine Empörung zum Ausdruck brachte, löste teils heftige Diskussionen in der Security-Community aus. Unter anderem schrieb Microsoft darin: „Unsere Abteilung für digitale Kriminalität wird weiter Verfahren gegen [kriminelle] Akteure einleiten und gegen diejenigen, die ihre kriminellen Aktivitäten ermöglichen.“ Der letzte Halbsatz wurde vielfach als allgemeine Drohung gegen (öffentliche) Sicherheitsforschung gelesen.

Ausgeträumt, oder...?

Abzuwarten bleibt nun, ob ein Engine-Patch als eher oberflächliche Lösung langfristig gegen RoguePlanet und mögliche Varianten standhält. Und ob beziehungsweise in welcher Form Nightmare Eclipse demnächst weitere Schwachstellen-Funde nachschieben wird.

Wenigstens für den kommenden Patchday am 14. Juli will der Forscher laut Blogpost keine massenhafte Zero-Day-Veröffentlichung geplant haben. Inwieweit man dem Glauben schenken kann, steht auf einem anderen Blatt.

(ovw)