RoguePlanet (CVE-2026-50656): Detalhes do Zero-Day Crítico que Afetou o Microsoft Defender

Em meados de julho de 2026, a comunidade de segurança da informação foi sacudida pela revelação pública de uma prova de conceito (PoC) ativa para uma vulnerabilidade de dia zero (zero-day) de alta criticidade no Microsoft Defender. Batizada de RoguePlanet e catalogada como CVE-2026-50656, a falha afeta diretamente o Microsoft Malware Protection Engine, o componente motor encarregado de varrer e identificar ameaças no Windows Defender e em outras suítes de antivírus enterprise da Microsoft.

A vulnerabilidade é do tipo Elevação de Privilégios (EoP) e permite que um atacante local que possua credenciais de baixo nível (como um usuário comum ou convidado) consiga escalar privilégios de execução para o nível máximo do sistema operacional (NT AUTHORITY\SYSTEM), obtendo controle total da máquina. A divulgação da falha ocorreu em meio a um atrito público entre a Microsoft e o pesquisador responsável pelo achado, que liberou a PoC antes da distribuição abrangente do patch corretivo.

⟩_ A Análise Técnica da Condição de Corrida (Race Condition)

A falha RoguePlanet baseia-se na exploração de links simbólicos (symlinks) em diretórios temporários criados pelo serviço do antivírus durante varreduras agendadas ou em tempo real. O Microsoft Defender executa tarefas de inspeção com o nível máximo de privilégio (SYSTEM) e comumente grava arquivos de log temporários em pastas compartilhadas que usuários comuns possuem acesso de escrita, tais como C:\ProgramData\Microsoft\Windows Defender\Scans\History\.

O atacante inicia uma condição de corrida no momento exato em que o antivírus realiza uma operação de limpeza de logs. O exploit cria um link simbólico que aponta o arquivo de histórico temporário do antivírus para um arquivo crítico do sistema operacional (como uma DLL do sistema ou arquivos de configuração do sistema). Devido ao comportamento incorreto de resolução de link simbólico (CWE-59), o Defender sobrescreve ou altera as permissões do arquivo de destino usando seus privilégios elevados. O atacante então substitui esse arquivo afetado para injetar código arbitrário e executá-lo como administrador do sistema.

⟩_ Como Verificar a Versão do Motor do Defender via PowerShell

Para garantir que os servidores e estações de trabalho de sua organização não estão expostos à vulnerabilidade RoguePlanet, os administradores de rede podem auditar a versão atual do Malware Protection Engine executando o seguinte script do PowerShell:

# Obtém as informações detalhadas do Windows Defender local
$DefenderStatus = Get-MpComputerStatus

# Filtra a versão do motor ativo
$EngineVersion = $DefenderStatus.AMEngineVersion

Write-Host "Versão do Motor do Defender instalada: $EngineVersion" -ForegroundColor Yellow

# Versão corrigida de referência
$FixedVersion = "1.1.26060.3008"

# Comparação de versão para auditoria de vulnerabilidade
if ([System.Version]$EngineVersion -lt [System.Version]$FixedVersion) {
    Write-Host "[ALERTA] O sistema está VULNERÁVEL à CVE-2026-50656 (RoguePlanet)." -ForegroundColor Red
    Write-Host "Por favor, execute o Windows Update imediatamente para forçar a atualização do motor." -ForegroundColor Red
} else {
    Write-Host "[OK] Sistema protegido com versão corrigida instalada." -ForegroundColor Green
}

⟩_ Divulgação Sem Patch e Discussão de Bug Bounty

A descoberta da vulnerabilidade foi reportada por um pesquisador que assina sob o codinome "Nightmare Eclipse". A publicação antecipada da prova de conceito (PoC) ativa, antes do patch global da Microsoft ser totalmente consolidado na rede de parceiros, gerou discussões acaloradas no mercado de infosec.

De acordo com o pesquisador, a Microsoft tentou classificar a gravidade do problema abaixo do nível crítico padrão para EoP e se recusou a pagar o prêmio de bug bounty sob a justificativa de que a falha exigia "acesso local prévio". Em protesto contra as práticas de triagem da empresa, a PoC foi colocada em domínio público, o que forçou a Microsoft a acelerar de forma emergencial o lançamento global da engine atualizada.

⟩_ Mitigação e Recomendações

Como o motor do Defender é atualizado de forma automática independentemente das atualizações normais do Windows (através dos pacotes de definição diários), a grande maioria das máquinas com conexão ativa de internet já recebeu o patch protetivo de forma transparente. A atualização que corrige a falha é a versão da engine 1.1.26060.3008 (ou superior).

Para servidores corporativos e máquinas isoladas (air-gapped), os administradores de TI devem aplicar manualmente os pacotes de definição mais recentes via WSUS (Windows Server Update Services) ou baixar o instalador de atualização offline no portal do Microsoft Security Center.