Cosa fa davvero RoguePlanet

RoguePlanet, registrato come CVE-2026-50656 con un punteggio CVSS di 7,8, è un difetto di elevazione dei privilegi nel motore di protezione dal malware di Microsoft, il componente mpengine.dll che per Windows Defender analizza, rileva e ripulisce i file. Sfrutta una race condition di tipo time-of-check to time-of-use nel percorso di elaborazione dei file del motore e permette a un attaccante locale con diritti di base di salire a SYSTEM, il livello di controllo più alto sulla macchina.

L'exploit è emerso il 9 giugno come proof of concept di un autore noto per una serie di recenti progetti di elevazione dei privilegi su Windows, e Microsoft ha consegnato l'8 luglio una correzione fuori ciclo nella versione 1.1.26060.3008 del motore, insieme a un irrigidimento di difesa in profondità. Riguarda Windows 10 e Windows 11, il che copre la maggior parte degli endpoint aziendali in Europa.

Perché un difetto solo locale conta comunque

Un difetto di elevazione dei privilegi non è esecuzione di codice da remoto: un attaccante ha bisogno prima di un punto d'appoggio sulla macchina, quindi da solo non fa entrare nessuno da internet. È per questo che è facile archiviarlo come a bassa priorità, ed è per questo che quell'archiviazione è un errore.

Quasi ogni intrusione reale è una catena, e il passo dopo l'accesso iniziale è la scalata a SYSTEM. Quando quella scalata vive dentro il motore antivirus, lo strumento pensato per catturare l'intruso diventa la leva che lo promuove. Con NIS2, un incidente che risale a un difetto non corretto e ben documentato in un componente di sicurezza centrale è esattamente quello che un operatore europeo deve saper spiegare.

Cosa controllare in concreto

Conferma che il motore di protezione dal malware di Microsoft sia alla versione 1.1.26060.3008 o successiva, non solo che Windows Update sia partito questo mese. Gli aggiornamenti del motore di Defender arrivano fuori ciclo e in continuo, quindi il numero che conta è la versione del motore, che puoi leggere su ogni host e raccogliere in modo centralizzato dalla tua gestione degli endpoint.

Presta la massima attenzione alle macchine dove gli aggiornamenti del motore restano indietro: server isolati, sistemi air-gap, immagini clonate di rado e flotte gestite che frenano gli aggiornamenti. Su queste, RoguePlanet può persistere dopo che il resto del parco si è già curato in silenzio, ed è proprio lì che un difetto di scalata fa danno.

Da leggere ora: La scadenza quantistica nascosta nei tuoi certificati  |  La prima piattaforma di agenti IA che la CISA obbliga a correggere