Microsoft Defender снова оказался в центре разборок вокруг опасной уязвимости. По данным из публикации исследователя Chaotic Eclipse, PoC под кодовым названием RoguePlanet на обновлённых Windows 10 и 11 может привести к получению прав SYSTEM — то есть к полному контролю над машиной.

Речь не о теории: исследователь утверждает, что проверил эксплойт на системах с июньскими обновлениями 2026 года. Для корпоративной среды это особенно неприятный сценарий, потому что антивирусный слой должен мешать атаке, а не становиться её точкой входа. Подобные истории уже всплывали и раньше — достаточно вспомнить дыру в ServiceNow, которая открывала лишний доступ и свежие атаки на связку безопасности в других продуктах.

Что именно сломалось в Defender

Судя по описанию, RoguePlanet опирается на condition race — гонку условий. Это ситуация, когда исход зависит от того, какой процесс успеет первым, и потому результат бывает нестабильным: на одном компьютере срабатывает с первой попытки, на другом — почти не воспроизводится.

Если атака удаётся, атакующий получает shell с правами SYSTEM. На практике это означает запуск любого кода, изменение настроек защиты, чтение чувствительных файлов и закрепление в системе.

Важно и другое: речь идёт не о старой версии Windows, а об актуальных Windows 10 и 11 с установленным июньским патчем 2026 года. Для пользователей это плохая новость, потому что наличие обновлений само по себе не гарантирует отсутствие риска.

Почему такие уязвимости опаснее обычного вредоноса

Когда проблема находится в защитном компоненте, она ломает сразу две линии обороны. Во-первых, атакующий получает высокий уровень привилегий. Во-вторых, он бьёт по инструменту, на который пользователь и администратор обычно полагаются в первую очередь.

Отсюда и эффект домино: одна ошибка в Defender может помочь обойти контроль приложений, подсмотреть конфигурацию, отключить часть защитных механизмов и дальше двигаться по сети. По похожей логике работают и другие цепочки атак, о которых мы уже писали — например, в разборе почему уязвимости на уровне системы опаснее обычных ошибок в приложениях.

Отдельный риск — нестабильность. Такие эксплойты часто «живут» в серой зоне между демонстрацией и массовым применением: сегодня они работают через раз, завтра их подправят, послезавтра злоумышленники адаптируют код под реальную кампанию.

Какие есть варианты защиты

Первый вариант — классический: держать Windows и защитные компоненты в актуальном состоянии и следить за бюллетенями Microsoft. Это не убирает риск мгновенно, но сокращает окно атаки, если компания выпустит исправление.

Второй — ограничивать права пользователей и не работать из-под администратора без необходимости. Даже если злоумышленник получит стартовую точку, ему будет сложнее развернуть атаку дальше.

Третий — смотреть на поведение системы, а не только на подписи угроз. Логи, EDR-события, резкие изменения в Defender и подозрительные попытки запуска системных команд часто выдают атаку раньше, чем она успеет закрепиться.

Четвёртый — для тех, кто регулярно подключается к публичным сетям, заранее готовить устройство к поездке. Здесь уместен сервис для защищённого подключения как опциональный слой приватности, но только в легальных сценариях и без надежды, что он заменит обновления, антивирус и здравый смысл.

Кому что подходит

Обычным пользователям достаточно трёх вещей: вовремя ставить обновления, не работать с учётной записи администратора и не игнорировать предупреждения защитных средств. Это базовый набор, который закрывает большую часть бытовых рисков.

Малому бизнесу и ИТ-админам нужен уже другой подход: контроль привилегий, журналирование, сегментация и быстрая реакция на подозрительные изменения в endpoints. Если в компании много ноутбуков и сотрудники часто работают вне офиса, стоит заранее выстроить правила для подключения к публичным сетям и проверять, как устройства ведут себя вне корпоративного периметра.

Для крупных организаций главная ставка — на управление уязвимостями и на оперативную проверку того, не видят ли защитные продукты аномалии у себя сами. Именно такие сюрпризы потом превращаются в инциденты, которые долго разбирают уже после первой волны ущерба.

Что делать прямо сейчас

  • Проверьте, установлены ли последние обновления Windows и защитных компонентов.
  • Ограничьте работу под администратором там, где это не нужно.
  • Просмотрите журналы безопасности на предмет странных запусков и изменений в Defender.
  • Обновите правила реагирования для ноутбуков, которые часто подключаются к публичным сетям.
  • Если вы администратор, сверьте настройки EDR и политики контроля приложений.
  • Не полагайтесь только на антивирус: сочетайте обновления, права доступа и мониторинг.

Если вам нужен ориентир по общей гигиене безопасности, полезно держать под рукой и наш разбор о том, почему безопасность на этапе релиза почти всегда выходит дороже. В таких историях это уже не теория, а прямая экономия на инцидентах.

Поделиться: