Microsoft'la arası bozuk olan öfkeli hata avcısı yeni bir Windows sıfır gün açığı yayınladı. İntikam, usulüne uygun olarak servis edildiğinde en lezzetli olan yemektir.

Araştırmacıya göre, en son sıfır gün açığı olan RoguePlanet, Microsoft Defender'ı hedef alıyor ve tamamen güncellenmiş Windows 10 ve Windows 11 sistemlerinde çalışıyor. Araştırmacı ayrıca güvenlik açığı için kavram kanıtı niteliğinde bir istismar kodu da yayınladı . Saldırganın bir yarış koşulunu kazanabileceği varsayıldığında, bu hata yerel ayrıcalık yükseltmesine izin veriyor ve etkilenen makine üzerinde SİSTEM düzeyinde kontrol sağlıyor.

Nightmare Eclipse (diğer adıyla Chaotic Eclipse), Windows konusunda derin bir bilgiye ve Microsoft'a karşı daha da derin bir kin besleyen, memnuniyetsiz bir hata avcısıdır. Eski bir çalışan olduğunu iddia eder ve Redmond'u güvenlik açığı raporlarını görmezden gelmekle ve kendileriyle iletişim kurmayı reddetmekle suçlar.

Benimle iletişim kurmanızı aktif olarak istediğimde reddettiniz, beni aşağıladınız ve insanların önünde bana hakaret etmeyi ihmal etmediniz, diye yazmışlardı daha önceki bir blog yazısında ve 14 Temmuz'da "kemik kırıcı" bir yayın sözü vermişlerdi.

CVE-2026-45585 uyarısıyla beni kamuoyu önünde karalıyorsunuz, üstelik hataları size bildirmek için kullandığım Microsoft hesabımı sildiniz ve bu sayede hiçbir ücret almadım, yine de aptal gibi bunu seve seve yaptım, diye devam etti paylaşım.

Muhtemelen bu öfkeyi dışa vurmak ve Redmond'un hareketsizliğine tepki olarak Nightmare, bulgularını kamuoyuna açıklamaya başladı. RoguePlanet, Redmond bir düzeltme yayınlamadan önce Nightmare'in bulup açıkladığı (ya bir PoC istismarı ya da teknik detaylarla birlikte) yedinci Microsoft sıfır gün açığını temsil ediyor.

Microsoft'un bu ifşaatlara verdiği ilk yanıt, geniş çapta yasal işlem tehdidi olarak yorumlandı ve bu durum, Redmond'un güvenlik araştırması yapan veya yayınlayan kişilere karşı yasal işlem başlatma niyetinde olmadığını belirterek tepkileri yatıştırmaya çalışmasından önce, bilgi güvenliği camiasında büyük bir öfkeye yol açtı.

Salı günü itibarıyla, önceki altı sıfır gün açığının tamamında yamalar yayınlandı.

Bunlardan üçü, RedSun UnDefend ve BlueHammer, Nightmare'in her biri için çalışan istismar kodunu yayınlamasından kısa bir süre sonra ve Microsoft'un güvenlik açıklarını gidermek için güvenlik güncellemeleri yayınlamasından önce saldırıya uğradı. Diğer üçü, YellowKey, GreenPlasma ve MiniPlasma, Haziran ayındaki Yama Salısı itibariyle düzeltildi.

YellowKey (diğer adıyla CVE-2026-45585 ), Windows BitLocker'da bulunan bir güvenlik açığıdır. Sisteme fiziksel erişimi olan bir saldırgan, BitLocker Aygıt Şifreleme özelliğini atlayarak aygıtın şifrelenmiş verilerine erişim sağlayabilir.

GreenPlasma (diğer adıyla CVE-2026-45586) ve MiniPlasma (diğer adıyla CVE-2020-17103), yetkili bir saldırgan tarafından yerel olarak ayrıcalıkları yükseltmek ve SYSTEM erişimi elde etmek için kötüye kullanılabilen, İşbirlikçi Çeviri Çerçevesi (CTFMON) ve Bulut Dosyaları Mini Filtre Sürücüsü'ndeki ayrıcalık yükseltme güvenlik açıklarıdır.

RoguePlanet hakkında sorulan bir soruya Microsoft sözcüsü The Register'a verdiği demeçte , Windows devinin bildirilen güvenlik açığının farkında olduğunu ve bu iddiaların geçerliliğini ve potansiyel uygulanabilirliğini aktif olarak araştırdığını söyledi.

Sözcü şöyle devam etti: Microsoft, güvenlik sorunlarını araştırmak ve etkilenen ürünleri müşterileri en kısa sürede korumak için güncellemek konusunda kararlıdır. Daha da önemlisi, müşterileri koruyan ve araştırma topluluğunu destekleyen , bulgularının kamuoyuna açıklanmadan önce kapsamlı bir şekilde araştırılmasını ve ele alınmasını sağlayan bir sektör standardı olan koordineli güvenlik açığı açıklamasını destekliyoruz .

Nightmare'in RoguePlanet için bir PoC (Proof of Concept) yayınlamasının hemen ardından, ThreatLocker tehdit istihbarat ekibi istismar kodunu doğruladı ve "etkiyi, etkilenen sistemleri ve ek önlemleri aktif olarak değerlendirdiklerini" belirterek, "bulgular ortaya çıktıkça" daha fazla bilgi paylaşacaklarını söyledi.

Tharros Labs'ın kıdemli güvenlik açığı analisti ve uzun zamandır saygın bir güvenlik uzmanı olan Will Dormann, istismar kodunu kendisinin de test ettiğini söyledi. Dormann, "Bildirildiğine göre %100 güvenilir değil, ancak benim için ilk denemede çalıştı," diye yazdı.

Nightmare ise 14 Temmuz'da yapacakları "kemik kıran" albüm vaadinden geri adım attı.

Araştırmacı Salı günü yaptığı açıklamada, "(Ne yazık ki) 14 Temmuz'da toplu sıfır gün açığı ifşası yapamayacağım, RoguePlanet beklenenden çok daha fazla zaman aldı ve beni gerçekten yordu, dedi. Bir ara verebilirim ama önümüzdeki ay ne yapacağımdan emin değilim, belki hiçbir şey yapmam, belki de bir şeyler yaparım. Ama asıl önemli olan şey olmayacak. Bu paylaşımla kitlesel bir panik yaymak niyetinde değildim ve bunun için özür dilerim.