Defender выдаёт SYSTEM

Defender должен защищать, а открывает SYSTEM. RoguePlanet — уязвимость, которую не отключить в настройках: баг в движке Malware Protection Engine. При обработке файла срабатывает race condition, и непривилегированный пользователь получает шелл с правами NT AUTHORITY\SYSTEM.

Автор: Nightmare Eclipse, за десять недель выпустивший семь zero-day. Его PoC работает на пропатченных Windows 10/11 вне зависимости от защиты. Microsoft зарегистрировала CVE-2026-50656 и обещает «качественное обновление безопасности», то есть патч.

Пока патч не вышел, приходится охотиться за артефактами: SYSTEM-шеллы от MsMpEng.exe/wermgr.exe, канал \.\pipe\RoguePlanet и %TEMP%\RP_*.