CISA дает администраторам Windows время до 3 июня, чтобы исправить дефекты в Nightmare Eclipse Defender

У федеральных агентств есть время до 3 июня, чтобы применить исправления для двух активно эксплуатируемых уязвимостей Microsoft Defender, связанных с кампанией по раскрытию информации о Nightmare Eclipse. До истечения этого срока осталось 48 часов, а еще три "нулевых дня" в Windows от того же исследователя остаются неисправленными, и 9 июня - это следующая возможность для Microsoft устранить их.

Эта сага началась в начале апреля, когда Nightmare Eclipse раскрыл BlueHammer (CVE-2026-33825), исправленный во Вторник исправлений 14 апреля, а в начале мая истек срок, установленный CISA. Нынешний отсчет ведется от отдельной акции CISA 20 мая, добавляющей RedSun (CVE-2026-41091) и UnDefend (CVE-2026-45498) в каталог известных эксплуатируемых уязвимостей после того, как Huntress подтвердила их активную эксплуатацию в реальных атаках. CISA обязала устранить последствия в соответствии с Обязательной оперативной директивой 22-01 с 14-дневным сроком.

Что делают исправленные уязвимости

RedSun нацеливается на движок управления Defender для повышения привилегий до SYSTEM. UnDefend вызывает состояние отказа в обслуживании в платформе Antimalware Platform, полностью блокируя Defender и создавая окно для развертывания вымогательского ПО или бокового перемещения без срабатывания предупреждений.

Обе проблемы исправлены в версиях Malware Protection Engine 1.1.26040.8 и Antimalware Platform 4.18.26040.7. Проверьте эти номера версий в настройках безопасности Windows до 3 июня.

Три недостатка без исправлений

YellowKey (CVE-2026-45585) обходит BitLocker на системах, оснащенных только TPM, через среду восстановления Windows, позволяя физическим доступом разблокировать зашифрованные диски без ключа восстановления. GreenPlasma - это дефект повышения привилегий CTFMON без CVE и патча. MiniPlasma повторно использует CVE-2020-17103 в cldflt.sys, дефект 2020 года, исправление которого было либо неполным, либо тихо регрессировало.

Специалисты ThreatLocker и Уилл Дорманн подтвердили, что она по-прежнему создает оболочку SYSTEM на полностью исправленных Windows 11 и Windows Server 2022 и 2025. Windows 10 не затронута, что важно для команд, управляющих смешанными парками.

Для YellowKey выполните команду reagentc /disable, смонтируйте автономную ветвь реестра WinRE, удалите autofstx.exe из BootExecute в разделе ControlSet001ControlSession Manager, затем выполните команду reagentc /enable, чтобы зафиксировать изменения. По возможности переведите BitLocker с TPM-only на TPM+PIN.

Кошмарный Eclipse объявил о выпуске 14 июля, приуроченном к Вторнику исправлений.