微软修复Defender高危提权漏洞RoguePlanet(CVE-2026-50656)：本地攻击者可获系统最高权限
安全研究员公开微软Defender零日漏洞RoguePlanet（CVE-2026-50656），本地提权至SYSTEM，影响Windows 10/11。微软已发布引擎更新修复该竞态条件漏洞，建议立即更新以避免安全控制被绕过。了解漏洞原理、利用条件及防御措施。
🔓 High 漏洞利用
安全研究员Nightmare-Eclipse公开了影响微软Defender恶意软件保护引擎的零日漏洞RoguePlanet（CVE-2026-50656，CVSS 7.8）。该漏洞利用竞态条件，允许拥有系统本地访问权限的攻击者提升至SYSTEM级权限，进而绕过安全防护并执行任意代码。微软已在2026年7月发布修复更新（引擎版本1.1.26060.3008）。
来源：Security Affairs | 2026-07-09 | 原文链接
🔍 关键发现
- 漏洞CVE-2026-50656存在于Microsoft Defender的Malware Protection Engine（mpengine.dll）中，属于本地提权漏洞。
- 攻击者通过竞态条件（race condition）可在完全更新的Windows 10/11系统上获得SYSTEM权限，且无论实时防护开启与否均可利用。
- 研究员此前已报告并协助修复了BlueHammer、UnDefend、RedSun等三个Defender漏洞，RoguePlanet是第四个。
⚔️ 攻击链分析
1. 攻击者获得目标系统的本地访问权限（如通过恶意软件或社交工程） 2. 在系统上运行特制的PoC程序，触发mpengine.dll中的竞态条件 3. 竞态条件导致权限提升至SYSTEM级别，生成SYSTEM shell 4. 攻击者利用最高权限执行任意代码、关闭安全软件或部署持久化后门
🚩 失陷指标 (IOC)
N/A（无公开IoC，漏洞利用本身不涉及网络IoC）
🛡️ 缓解建议
- ✅ 立即更新Microsoft Malware Protection Engine至1.1.26060.3008或更高版本，可通过Windows Update或Microsoft更新目录自动部署。
- ✅ 遵循最小权限原则，限制本地用户对敏感目录和注册表的访问，降低被利用风险。
- ✅ 定期验证环境中的反恶意软件引擎更新是否正常推送，并监控系统异常特权提升行为。
涉及漏洞：[]
⚠️ 本文仅供安全研究与学习，IOC 信息请勿用于非法目的。
🤖 常见问题解答（FAQ）
❓ 该漏洞影响哪些Windows版本？
主要影响完全更新的Windows 10与Windows 11系统（含2026年6月补丁星期二）。Windows Server因标准用户无法挂载ISO镜像，当前PoC不适用，但底层漏洞仍存在，需不同利用方式。
❓ 攻击者需要什么前提条件才能利用？
攻击者需要拥有目标系统的本地访问权限（如通过已感染的账户或恶意软件）并能够执行任意代码。漏洞本身无需用户交互，但需要本地文件系统操作能力。
❓ 微软已发布修复，用户应如何确认更新？
检查Microsoft Malware Protection Engine版本是否≥1.1.26060.3008。可通过任务管理器→详细信息→MsMpEng.exe属性，或在PowerShell中运行Get-MpComputerStatus | Select EngineVersion。