Trei zero-day-uri Microsoft Defender exploatate activ; două încă necorespunzătoare
Huntress atrage atenția că actorii rău intenționați exploatează trei vulnerabilități de securitate recent divulgate în Microsoft Defender pentru a obține privilegii sporite în sistemele compromise. Potrivit thehackernews.com, aceste activități implică exploatarea a trei vulnerabilități cunoscute sub numele de BlueHammer (care necesită autentificare GitHub), RedSun și UnDefend, toate fiind publicate ca zero-day de un cercetător cunoscut sub numele de Chaotic Eclipse (alias Nightmare-Eclipse) în reacție la modul în care Microsoft a gestionat procesul de divulgare a vulnerabilității.
👉 Descrierea vulnerabilităților și stadiul rezolvării acestora
Atât BlueHammer, cât și RedSun sunt defecte de escaladare a privilegiilor locale (LPE) care afectează Microsoft Defender, în timp ce UnDefend poate fi folosit pentru a declanșa o condiție de denegare a serviciului (DoS) și pentru a bloca eficient actualizările de definiție. Microsoft a început să abordeze problema BlueHammer ca parte a actualizărilor sale Patch Tuesday lansate la începutul acestei săptămâni. Vulnerabilitatea este urmărită sub identificatorul CVE CVE-2026-33825. Cu toate acestea, celelalte defecte nu au un fix disponibil în momentul redactării acestui articol.
Într-o serie de postări partajate pe X, Huntress a spus că a observat exploatarea tuturor celor trei vulnerabilități în mediul real, BlueHammer fiind armat din 10 aprilie 2026, urmată de utilizarea exploatărilor de tip proof-of-concept (PoC) RedSun și UnDefend pe 16 aprilie. „Aceste invocări au fost însoțite de comenzi tipice de enumerare: whoami /priv, cmdkey /list, net group și altele care indică activitatea actorilor rău intenționați cu acces direct la tastatură”, a adăugat această.
👉 Reacția Microsoft și măsurile luate de furnizorii de cybersecurity
Furnizorul de cybersecurity a declarat că a luat măsuri pentru a izola organizația afectată pentru a preveni exploatarea suplimentară. Când a fost contactată pentru comentarii, Microsoft a confirmat că exploatarea BlueHammer a fost abordată prin CVE-2026-33825. „Microsoft are un angajament față de clienți de a investiga problemele de securitate raportate și de a actualiza dispozitivele afectate pentru a proteja clienții cât mai repede posibil”, a declarat un purtător de cuvânt Microsoft. „De asemenea, susținem divulgarea coordonată a vulnerabilităților, o practică acceptată pe scară largă în industrie care ajută la asigurarea unei investigații și soluționări atente a problemelor înainte de divulgarea publică, sprijinind atât protecția clienților, cât și comunitatea de cercetare în domeniul securității.” (Articolul a fost actualizat după publicare pentru a include un răspuns din partea Microsoft.)