RoguePlanet: lo zero-day di Microsoft Defender che regala i privilegi SYSTEM

Il 9 luglio 2026 Microsoft ha rilasciato una patch fuori ciclo per una falla di Windows Defender che fa una cosa scomoda: trasforma il processo dell'antivirus — quello che gira come SYSTEM proprio per poter sorvegliare tutto il resto — in una primitiva di privilege escalation locale. Il bug, CVE-2026-50656, soprannominato RoguePlanet, apre un prompt dei comandi con privilegi SYSTEM su macchine Windows 10 e Windows 11 per il resto completamente aggiornate. È la quarta vulnerabilità di privilege escalation in Microsoft Defender firmata dallo stesso ricercatore quest'anno, e la sua antenata è già entrata nei playbook ransomware. Questa combinazione — un controllo di sicurezza che diventa la superficie d'attacco, su una base di codice presente praticamente su ogni endpoint Windows gestito del pianeta — è il motivo per cui vale la pena leggere oltre il titolo.

Cos'è davvero RoguePlanet

RoguePlanet è una race condition nel Microsoft Malware Protection Engine (mpengine.dll), il cuore di scansione condiviso da Defender Antivirus e dalle sue varianti enterprise. Ha un punteggio CVSS di 7.8 — alto, non critico, perché si tratta di escalation locale e non di esecuzione remota di codice. La parte interessante è il meccanismo.

Secondo il resoconto di BleepingComputer e le analisi successive, l'exploit vince una race di temporizzazione per sostituire C:\Windows\System32\wermgr.exe — il gestore di Windows Error Reporting — con un binario controllato dall'attaccante. Quando l'attività pianificata di sistema \Microsoft\Windows\Windows Error Reporting\QueueReporting viene eseguita, Windows lancia quel binario come SYSTEM. Il ricercatore, noto come Chaotic Eclipse (anche Nightmare Eclipse), ha riferito che il proof-of-concept funziona sia con la protezione in tempo reale di Defender attiva sia disattivata — quindi i riflessi istintivi "basta spegnere l'antivirus" e "basta attivare la tamper protection" mancano entrambi il bersaglio.

Due caratteristiche lo rendono operativamente insidioso:

• È non deterministico. Il ricercatore ha osservato un tasso di successo del 100% su alcune macchine e difficoltà su altre. La sfruttabilità dipende dalla CPU, dai tempi dello scheduler, dal disco — non da un numero di versione. Non si può concludere "siamo al sicuro" leggendo un build number.
• Scala a partire dallo stack di sicurezza. RoguePlanet è uno strumento di seconda fase. Presuppone che l'attaccante abbia già una shell a bassi privilegi — da un utente phishato, una credenziale trafugata, un servizio perimetrale sfruttato — e converte quell'appiglio nel controllo totale della macchina usando l'antivirus stesso.

Perché "completamente aggiornato" è una bugia per Microsoft Defender

Ecco la trappola in cui cade la maggior parte degli inventari asset. Il Malware Protection Engine non segue il versionamento di Windows. Viaggia su un proprio canale di aggiornamento rapido e si rinfresca indipendentemente dal Patch Tuesday, spesso più volte al giorno quando la macchina è online. RoguePlanet è stato dimostrato su sistemi con gli aggiornamenti cumulativi di giugno 2026 — "completamente aggiornati" secondo qualsiasi definizione di build Windows — e ha comunque avuto la meglio. La correzione vive nel Malware Protection Engine versione 1.1.26060.3008, un numero di engine, non un build di sistema operativo.

Quindi la domanda "siamo patchati?" ha il soggetto sbagliato. Il soggetto giusto è la versione dell'engine su ciascun host, e questa deriva host per host a seconda della connettività, delle policy di aggiornamento WSUS/Defender e di quanto tempo una macchina è rimasta offline. Un CMDB che traccia il build del sistema operativo riporterà un parco macchine pulito mentre una fetta di esso monta ancora un engine vulnerabile.

"La nostra dashboard delle patch era verde." — qualunque revisione post-incidente di un bug versionato sull'engine, sempre. La dashboard rispondeva a una domanda diversa da quella che poneva l'attaccante.

Il detector è la superficie d'attacco

Il punto strutturale scomodo, argomentato bene nell'analisi di Morphisec, è che non puoi generare un alert sull'abuso della cosa che genera i tuoi alert. Defender gira come SYSTEM perché deve ispezionare tutto. Proprio quel privilegio è ciò che rende così prezioso un bug al suo interno: l'exploit non deve sconfiggere l'EDR, sta già girando dentro il perimetro di fiducia dell'EDR. E RoguePlanet non è un caso isolato — è un pattern. Chaotic Eclipse ha ormai pubblicato quattro bug di privilege escalation in Defender nel 2026:

Soprannome	CVE	Meccanismo	Stato
BlueHammer	CVE-2026-33825	Debolezza nel controllo accessi → database SAM → SYSTEM	In KEV; sfruttato in ransomware
RedSun	CVE-2026-41091	LPE di Defender → SYSTEM	Patchato
UnDefend	CVE-2026-45498	LPE di Defender → SYSTEM	Patchato
RoguePlanet	CVE-2026-50656	Race su wermgr.exe via task QueueReporting → SYSTEM	Patchato il 9 lug 2026

Quattro bug, un componente, un anno. La conclusione non è "Defender fa schifo" — ogni agente complesso che gira a livello SYSTEM ha questa esposizione, EDR di terze parti compresi. La conclusione è che il sensore endpoint è un singolo punto di fiducia, e quando viene sovvertito, la telemetria su cui contavi per intercettare l'intrusione arriva da una fonte compromessa.

BlueHammer è l'anteprima di ciò che arriva dopo

Se vuoi sapere come finisce la storia di RoguePlanet quando nessuno rimedia, guarda la sua antenata. BleepingComputer riporta che BlueHammer (CVE-2026-33825) — il primo dei quattro — è stato divulgato all'inizio di aprile con codice PoC funzionante, patchato da Microsoft il 14 aprile, aggiunto al catalogo CISA Known Exploited Vulnerabilities il 22 aprile e, a partire da questo mese, è confermato in campagne ransomware attive, secondo CISA e SecurityWeek.

La catena che i gruppi mettono in pratica è da manuale:

Accesso iniziale (phishing / credenziale trafugata / perimetro non patchato) → esecuzione di codice a bassi privilegi → LPE di Defender fino a SYSTEM → disattivazione degli altri strumenti di sicurezza → staging ed esfiltrazione → deploy del ransomware su tutto il parco macchine.

Rileggi il passaggio centrale. L'escalation di privilegi viene usata proprio per accecare il sensore endpoint prima che inizi la parte rumorosa e distruttiva. Quando parte la cifratura, lo strumento su cui avevi costruito la tua strategia di rilevamento sta girando per l'attaccante da un'ora. RoguePlanet ha la stessa forma, un CVE più tardi. Non c'è motivo di pensare che non seguirà lo stesso arco — capacità divulgata, engine patchato, poi tooling ransomware di massa — e ogni motivo per rimediare prima che accada.

Remediation

Un runbook completo per CVE-2026-50656. Eseguili in ordine.

1. Sono esposto?

Controlla la versione dell'engine, non il build del sistema operativo, su ogni host. In PowerShell:

Get-MpComputerStatus | Select-Object AMProductVersion, AMEngineVersion, AntivirusSignatureVersion

Se AMEngineVersion è inferiore a 1.1.26060.3008, quell'host è vulnerabile — a prescindere da ciò che riporta Windows Update. Estendi la verifica a tutto il parco macchine (query SCCM/Intune, o una raccolta via script) invece di controlli a campione, perché la deriva dell'engine è host per host. Nota che attivare o disattivare la protezione in tempo reale non cambia nulla.

2. Patch — la versione corretta esatta

Forza l'aggiornamento dell'engine. Arriva tramite il normale canale di security intelligence di Defender:

Update-MpSignature

Poi rilancia il controllo di stato e conferma che AMEngineVersion sia 1.1.26060.3008 o superiore. In ambienti air-gapped o con aggiornamenti limitati da policy, distribuisci il pacchetto engine via WSUS/Defender update management e verifica esplicitamente — non dare per scontato che l'auto-aggiornamento quotidiano abbia raggiunto le macchine offline o vincolate da policy.

3. Non puoi patchare subito? Controlli compensativi

• Riduci gli admin locali permanenti e i percorsi di esecuzione codice non privilegiati. RoguePlanet ha bisogno di un appiglio iniziale a bassi privilegi da cui partire. Allow-listing applicativo (WDAC/AppLocker) e blocco delle posizioni di esecuzione scrivibili dall'utente alzano il costo per ottenere quella prima shell.
• Non affidarti alla tamper protection o alla disattivazione della protezione in tempo reale — il PoC è esplicitamente indifferente a entrambe.
• Monitora gli artefatti specifici del punto 4 come controllo detective finché l'engine non è confermato aggiornato ovunque.

4. Caccia alla compromissione

Poiché il payload viene eseguito tramite un'attività pianificata legittima e un nome di binario legittimo, qui l'EDR endpoint è un testimone debole. Cerca:

• Anomalie di integrità su wermgr.exe — un C:\Windows\System32\wermgr.exe su disco il cui hash, firma o dimensione non corrispondono all'originale firmato Microsoft, o un timestamp di modifica che non coincide con un evento di patch. Corrisponde a MITRE ATT&CK T1574 (Hijack Execution Flow).
• Esecuzione anomala dell'attività QueueReporting — \Microsoft\Windows\Windows Error Reporting\QueueReporting che genera un figlio diverso dal genuino flusso di Windows Error Reporting. ATT&CK T1053.005 (Scheduled Task).
• Shell SYSTEM inattese — cmd.exe/powershell.exe con token SYSTEM e un genitore nella catena WER/Defender. ATT&CK T1068 (Exploitation for Privilege Escalation).
• Defender disattivato o con esclusioni allargate poco dopo uno qualsiasi dei punti sopra — la mossa standard post-escalation. ATT&CK T1562.001 (Impair Defenses).
• Per la variante BlueHammer di questa catena, accesso al database SAM (ATT&CK T1003.002) come via di escalation.

5. Eradica e verifica

Se trovi un wermgr.exe manomesso o una shell SYSTEM anomala, tratta l'host come compromesso a livello SYSTEM: isola, ripristina il binario legittimo, ricostruisci se l'integrità è in dubbio e ruota tutte le credenziali che la macchina poteva raggiungere — account locali (il SAM era accessibile), credenziali di dominio in cache, service account e ogni segreto conservato sulla macchina. Poi ri-verifica: conferma che l'engine sia patchato e che non resti alcun artefatto di scheduled task o di hijack di binario. La patch chiude la porta; non sfratta un intruso che l'ha già varcata.

Dove si colloca Zero Hunt

RoguePlanet mette a nudo due problemi, e corrispondono a due lavori diversi.

Il primo: una volta che un attaccante possiede SYSTEM attraverso il tuo stesso antivirus, il sensore endpoint non è più un narratore affidabile. Tutto ciò che segue quel passaggio — la raccolta di credenziali, il movimento laterale, lo staging, il fan-out della cifratura — avviene con la telemetria host primaria accecata o attivamente mendace. Il testimone indipendente che sopravvive è la rete. L'AI Traffic Analysis di Zero Hunt esegue un modello proprietario di deep learning con quattro teste di inferenza parallele (traffico sospetto, classificazione malware, identificazione del tipo di attacco, fingerprinting applicativo) direttamente sulla GPU dell'appliance, con un baseline di 2.7+ Gbit/s — on-prem, senza cloud. Vede la catena ransomware mentre accade: la ricognizione interna, i pivot laterali mai visti prima, il fan-out di scritture SMB/NFS di massa della cifratura, l'esfiltrazione in uscita — nulla di tutto ciò dipende dall'onestà di Defender, perché il modello guarda la rete, non il sensore compromesso. Per la precisa catena BlueHammer-verso-ransomware descritta sopra, quella è la superficie di rilevamento che continua a funzionare dopo che l'agente endpoint è stato voltato.

Il secondo problema è la validazione. "Siamo patchati?" è una domanda senza risposta partendo da un numero di versione quando la sfruttabilità è non deterministica e l'engine deriva host per host. Il swarm di pentest generativo a 10 agenti di Zero Hunt risponde empiricamente: gli agenti Post-Exploit e Pivot scrivono un tentativo di escalation nuovo per il tuo ambiente reale con un LLM locale — non un PoC preconfezionato da ExploitDB — e lo eseguono contro l'engine reale dentro un container Docker effimero rinforzato con gVisor, così l'attacco non tocca mai il sistema operativo host. Ogni tentativo è retro-testato nell'AI Gym contro il corpus di benchmark Vulhub e basato su CVE prima di avvicinarsi alla produzione, e ogni finding è firmato ECDSA per la catena di custodia e mappato su ATT&CK T1068. È la differenza tra una dashboard che dice "engine 1.1.26060.3008, verde" e un engine che è stato davvero dimostrato, su quello specifico host, incapace di vincere la race.

Il detector è diventato la superficie d'attacco. La risposta è smettere di affidarsi a un singolo sensore che corregge da sé i propri compiti — sorvegliare la rete in modo indipendente, e dimostrare la correzione provando a romperla.

Vuoi valutare l'esposizione del tuo parco Windows alla privilege escalation di classe Defender, o vedere la prospettiva lato traffico di una catena ransomware che parte da un endpoint accecato? Contattaci o scopri com'è costruita la piattaforma.