Windows Defender: Microsoft patcht RoguePlanet-Lücke nach Exploit
Veröffentlicht: 11.07.2026 um 00:16 Uhr, Redaktion boerse-global.de
Ein Notfall-Update soll eine schwerwiegende Schwachstelle im Virenschutz stopfen – doch der Patch könnte neue Probleme mit sich bringen.
Redmond. Microsoft hat am Mittwoch einen außerplanmäßigen Sicherheitspatch für das Windows Defender Malware Protection Engine veröffentlicht. Die als CVE-2026-50656 registrierte und unter dem Namen RoguePlanet bekannte Schwachstelle ermöglicht Angreifern eine lokale Rechteausweitung auf betroffenen Systemen.
Der Sicherheitsupdate kommt fast einen Monat, nachdem ein Sicherheitsforscher einen Exploit für die Lücke öffentlich gemacht hatte – aus Frust über den Umgang mit dem Microsoft Security Response Center (MSRC).
So gefährlich ist die RoguePlanet-Lücke
Bei der Schwachstelle handelt es sich um einen sogenannten Race-Condition-Fehler in der Malware-Schutz-Engine. Mit einem CVSS-Schweregrad von 7,8 können lokale Angreifer ihre Berechtigungen auf SYSTEM-Ebene ausweiten – die höchste Zugriffsstufe unter Windows.
Der Fehler (Klassifikation CWE-59) wurde in der Engine-Version 1.1.26060.3008 behoben. Microsoft selbst stufte die Wahrscheinlichkeit einer Ausnutzung als hoch ein, erklärte jedoch, dass zum Zeitpunkt der Patch-Veröffentlichung keine bestätigten Angriffe bekannt gewesen seien.
Andere Sicherheitsanbieter wie Qualys berichten dagegen von aktiven Angriffen im Feld. Auch die US-Cybersicherheitsbehörde CISA hat die Lücke in ihren Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen.
Das Update wurde automatisch an Millionen von Systemen mit Windows 10, Windows 11 und Windows Server 2025 ausgeliefert. Administratoren sollten prüfen, ob ihre Systeme auf die genannte Engine-Version aktualisiert wurden.
Ein Forscher als treibende Kraft
Die RoguePlanet-Lücke wird aktiv ausgenutzt – und der Notfall-Patch könnte neue Sicherheitsprobleme verursachen. Dieser Report liefert die entscheidende Checkliste für Admins: Patch-Status prüfen, Update sicher einspielen, Nebenwirkungen überwachen. Jetzt kostenlosen Report anfordern
Der Patch erscheint 29 Tage, nachdem der Sicherheitsforscher Nightmare Eclipse am 10. Juni einen Proof-of-Concept-Exploit veröffentlicht hatte. Es war bereits der siebte Zero-Day-Exploit für Microsoft-Produkte, den der Forscher seit April publik gemacht hat.
Nach Branchenberichten handelt es sich um die vierte Schwachstelle in Windows Defender, die von dem Forscher identifiziert wurde. Frühere Lücken mit den Codenamen RedSun, UnDefend und BlueHammer wurden ebenfalls vor ihrer Schließung aktiv ausgenutzt.
Nebenwirkungen des Patches?
Kurz nach der Notfall-Aktualisierung meldete der Forscher Nightmare Eclipse zwei unerwünschte Nebeneffekte. Demnach enthalte das Update eine Defense-in-Depth-Modifikation, die für eine Speicherplatz-Attacke missbraucht werden könnte.
Das Problem betrifft die SpyNet-Caching-Funktionen in der Defender-Komponente mpengine.dll. Laut dem Forscher umgehen diese Funktionen nun Dateigrößenbeschränkungen beim Caching von Zone.Identifier-Alternativdatenströmen. Ein Angreifer könnte die Festplatte eines Ziels füllen, indem er das System zum Zugriff auf eine bösartige SMB-Freigabe mit überdimensionierten Dateien zwingt.
Das Verhalten wurde demnach auf Windows 11 Version 25H2 und Windows Server 2025 reproduziert. Zudem identifizierte der Forscher ein geringfügiges 8-Byte-Datenleck in derselben Komponente.
Microsoft hat diese Nebeneffekte bislang nicht bestätigt. Sicherheitsexperten raten, die Speichernutzung kritischer Systeme während der weltweiten Patch-Auslieferung zu überwachen.
Disclaimer zu unseren Artikeln: Keine Anlageberatung, keine Kauf oder Verkaufsempfehlung. Angaben zu Kursen, Unternehmen und Märkten ohne Gewähr; Änderungen jederzeit möglich. Börsengeschäfte können zu hohen Verlusten führen. Unsere Beiträge werden ganz oder teilweise automatisiert mit Unterstützung von AI erstellt und geprüft.
