Wat RoguePlanet werkelijk doet

RoguePlanet, geregistreerd als CVE-2026-50656 met een CVSS-score van 7,8, is een lek voor rechtenescalatie in de malwarebeschermingsengine van Microsoft, het onderdeel mpengine.dll dat voor Windows Defender bestanden scant, detecteert en opschoont. Het misbruikt een time-of-check to time-of-use race condition in het bestandsverwerkingspad van de engine en laat een lokale aanvaller met gewone gebruikersrechten opklimmen naar SYSTEM, het hoogste controleniveau op de machine.

De exploit dook op 9 juni op als proof of concept van een auteur die bekendstaat om een reeks recente Windows-rechtenescalatieprojecten, en Microsoft leverde op 8 juli een out-of-band fix in engineversie 1.1.26060.3008, samen met defense-in-depth-verharding. Het treft Windows 10 en Windows 11, wat de meeste zakelijke endpoints in Europa dekt.

Waarom een puur lokaal lek toch telt

Een lek voor rechtenescalatie is geen uitvoering van code op afstand: een aanvaller heeft eerst een voet aan de grond op de machine nodig, dus laat het op zichzelf niemand vanaf internet binnen. Daarom is het makkelijk als lage prioriteit weg te zetten, en daarom is dat wegzetten een fout.

Bijna elke echte inbraak is een keten, en de stap na de initiële toegang is de escalatie naar SYSTEM. Als die escalatie in de antivirusengine zit, wordt het gereedschap dat de indringer moet vangen de hefboom die hem promoveert. Onder NIS2 is een incident dat terugvoert op een ongepatcht, goed gedocumenteerd lek in een centrale beveiligingscomponent precies het soort dat een Europese operator moet kunnen uitleggen.

Wat je concreet moet controleren

Bevestig dat de malwarebeschermingsengine van Microsoft op versie 1.1.26060.3008 of later staat, niet alleen dat Windows Update deze maand liep. De engine-updates van Defender komen out-of-band en doorlopend binnen, dus het relevante getal is de engineversie, die je op elke host kunt uitlezen en centraal kunt ophalen uit je endpointbeheer.

Let het scherpst op de machines waar engine-updates achterlopen: geïsoleerde servers, air-gapped systemen, images die zelden worden gekloond en beheerde vloten die updates afknijpen. Daarop kan RoguePlanet blijven bestaan nadat de rest van het park zichzelf stilletjes heeft hersteld, en dat is precies waar een escalatielek zijn schade aanricht.

Lees hierna: De quantumdeadline verstopt in je certificaten  |  Het eerste AI-agentplatform dat CISA verplicht laat patchen