RoguePlanet: Lücke in Microsoft Defender gibt Angreifern SYSTEM-Rechte

In der Schutz-Engine von Microsoft Defender steckt eine Schwachstelle, über die ein Angreifer mit einfachem Benutzerzugang auf einem Windows-Rechner volle SYSTEM-Rechte erlangen kann. Die Lücke trägt die Kennung CVE-2026-50656 (CVSS 7.8) und den Namen „RoguePlanet“. Brisant: Für die Lücke kursiert seit Wochen ein funktionierender Beispiel-Exploit, und Microsofts erster Reparaturversuch ließ sich mit minimalem Aufwand umgehen. Erst ein zweites Update vom 9. Juli 2026 schließt den Fehler zuverlässig.

Was ist passiert?

„RoguePlanet“ ist eine lokale Rechteausweitung (Local Privilege Escalation) in der Microsoft Malware Protection Engine – dem Scan-Modul, das Microsoft Defender und weiteren Sicherheitsprodukten von Microsoft zugrunde liegt. Über eine Race-Condition in der Art, wie die Engine beim Scannen Datei-Verknüpfungen auflöst, kann ein Prozess mit niedrigen Rechten die Engine dazu bringen, eine Aktion mit SYSTEM-Rechten auszuführen – im Ergebnis eine Kommandozeile mit den höchsten Systemrechten.

Der veröffentlichte Machbarkeitsnachweis funktioniert unabhängig davon, ob der Echtzeitschutz aktiv ist, weil die Lücke in der Datei-Verarbeitung der Engine liegt und bei jedem Scan – auch geplant oder manuell – ausgelöst wird. Ein Sicherheitsforscher unter dem Namen „Nightmare Eclipse“ veröffentlichte den Exploit am 10. Juni 2026. Microsofts erstes Update erwies sich als unzureichend: Forscher zeigten, dass sich der Schutz mit trivialen Code-Änderungen aushebeln ließ. Erst die Engine-Version 1.1.26060.3008 vom 9. Juli 2026 behebt das Problem verlässlich. Eine Ausnutzung „in freier Wildbahn“ war zum Patch-Zeitpunkt nicht bestätigt; Microsoft stuft die Lücke aber als „Exploitation More Likely“ ein.

Wer ist betroffen?

Betroffen sind Windows 10 und Windows 11 sowie alle Systeme, auf denen die Microsoft Malware Protection Engine läuft – also praktisch jeder Windows-Arbeitsplatz und -Server mit aktivem Microsoft Defender. Da die Engine Standardbestandteil von Windows ist, ist die Angriffsfläche in typischen KMU-Umgebungen sehr breit.

Wichtig zur Einordnung: Es handelt sich um eine lokale Rechteausweitung. Ein Angreifer braucht also bereits einen Fuß in der Tür – etwa ein gekapertes Benutzerkonto, eine per Phishing eingeschleuste Schadsoftware oder physischen Zugang. Genau als zweite Stufe eines Angriffs ist die Lücke jedoch wertvoll: Aus einem harmlosen Benutzerkonto wird die vollständige Kontrolle über den Rechner.

Was jetzt zu tun ist

1. Engine-Version prüfen: In der „Windows-Sicherheit“ unter den Einstellungen die „Modulversion“ kontrollieren. Sie muss 1.1.26060.3008 oder höher sein. Ist der Wert niedriger, ist der Rechner noch verwundbar.
2. Automatische Updates sicherstellen: Die Schutz-Engine aktualisiert sich normalerweise automatisch. Prüfen Sie, dass die automatischen Sicherheits- und Defender-Updates aktiviert und nicht durch Richtlinien blockiert sind.
3. Server und Sonderfälle nicht vergessen: Auch Windows-Server, isolierte oder selten genutzte Maschinen und Geräte ohne Internetzugang können veraltete Engines haben – dort die Version gezielt nachziehen.
4. Aktualisierung erzwingen: Wo die Version zu alt ist, das Signatur-/Engine-Update manuell anstoßen (in der Windows-Sicherheit „Nach Updates suchen“) und anschließend die Modulversion erneut kontrollieren.

So hilft Binary System Services

Ob eine Schutz-Engine flächendeckend aktuell ist, lässt sich per Handarbeit kaum über alle Geräte hinweg sicherstellen. Binary System Services erfasst Ihren Windows-Bestand, überwacht die Versionsstände von Defender und Betriebssystem zentral und stellt sicher, dass kritische Updates wie dieses geprüft und lückenlos ausgerollt werden – auch auf Servern und selten genutzten Geräten. So schließen Sie die Tür, bevor sie jemand als zweite Stufe eines Angriffs nutzt. Sprechen Sie uns an.

Angaben ohne Gewähr. Im Zweifel bitte die offizielle Quelle prüfen.