ZONE.CI 全球网

安全研究员公开披露GreatXMLBitLocker绕过漏洞的PoC利用代码，该漏洞通过操纵WindowsDefender离线扫描功能获取加密驱动器的完全访问权限。攻击需满足特定条件（如执行过离线扫描），主要构成物理访问层面的威胁。文档同时披露研究员与微软的安全争议历史，建议关注官方补丁动态。

研究员披露新漏洞，利用恢复环境解析缺陷绕过磁盘加密获取最高权限，前提是曾运行安全软件脱机扫描。因与微软存在纠纷，其近期连续曝光多个零日漏洞。微软谴责此举并呼吁遵循协调式漏洞披露机制，建议企业关注本地提权风险并及时跟进官方补丁。

安全研究员NightmareEclipse发布名为GreatXML的0day漏洞利用程序，可绕过WindowsBitLocker加密。该漏洞通过MicrosoftDefender离线扫描功能在恢复模式下获取SYSTEM权限，要求目标系统至少执行过一次离线扫描。PoC包含XML文件和恢复文件夹，需复制到恢复分区并通过特定操作触发。建议用户谨慎使用Defender离线扫描功能以降低风险。

微软确认MicrosoftDefender存在代号为Rogueplanet的零日漏洞（CVE-2026-50656，CVSS7.8分），该漏洞属于竞争条件类型，可导致权限提升至系统最高权限。研究员指出该漏洞利用不受Defender实时防护开启状态影响。微软表示正在开发修复补丁。

微软确认MicrosoftDefender存在代号Rogueplanet的高危零日漏洞CVE-2026-50656，CVSS评分7.8。该漏洞源于Defender核心引擎的文件访问前链接解析不当缺陷，利用TOCTOU竞争条件，无需用户交互即可本地提权至SYSTEM权限，影响所有已打最新补丁的Windows10/11系统。微软正在开发补丁但未给出具体发布时间，建议企业加强访问控制并关注官方更新。

安全研究人员NightmareEclipse公开了WindowsDefender零日漏洞RoguePlanet的PoC，该漏洞利用Defender内部处理逻辑的TOCTOU竞争条件，允许非特权用户通过NTFS连接点重定向文件操作，从而在受影响系统上获得SYSTEM权限。漏洞确认影响全版本Windows10/11及服务器版，建议组织将此披露视为高优先级并监控微软安全更新以获取紧急补丁。

微软WindowsDefender被曝存在零日漏洞（CVE未公开），攻击者可利用竞态条件在扫描过程中以System权限执行任意代码。漏洞已出现公开攻击代码，微软正在开发补丁。临时缓解措施包括关闭实时保护、避免打开可疑文件、及时更新系统。该事件警示安全工具本身也可能成为攻击入口，需建立完整防护体系。

本文介绍一款Patch免杀工具，能够自动化扫描白文件并Patch实现免杀，支持绕过360核晶、火绒、WindowsDefender及微步沙箱等检测。工具新增反沙箱功能并修复Defender告警，支持单文件或多文件载荷生成。文章强调技术仅用于安全测试，并推广红队技术交流圈子提供更多免杀工具与攻防文章。

Microsoft确认Defender存在本地提权漏洞CVE-2026-50656（CVSS7.8High），该漏洞影响恶意软件防护引擎但尚未被在野利用。文章指出终端防护工具本身可能成为攻击面，建议企业在补丁发布前加强本地执行控制、限制用户权限并监控异常行为，同时保持Defender更新。

微软确认Defender存在零日漏洞RoguePlanet(CVE-2026-50656)，利用竞争条件可提权至SYSTEM。该漏洞影响Win10和11且已有公开PoC。微软正开发补丁，建议关注官方更新并加强端点监控。

文档介绍go-buena-clr工具通过CLR托管机制差异化加载路径规避AMSI检测，实验显示结合Garble混淆与Astral-PE清理静态特征后可执行文件成功运行而未触发告警，证明该方案在特定环境下的有效性。

本文介绍一款名为Patch神器的x86版本免杀工具，可自动化扫描白文件并Patch实现免杀，声称能绕过360核晶、火绒、WindowsDefender、卡巴等主流杀软和微步沙箱。文章重点推广其红蓝对抗圈子，提供多种免杀技术文章和工具资源，同时强调仅用于安全测试和防御研究。

本文为攻防技战术周报，聚焦红队前沿技术与工具。内容涵盖Linux密码提取、PAC签名失效导致的域降级攻击、DCOM横向移动、Syscalls绕过Defender、AMSI缺陷利用及Nim隐身等免杀手法；蓝队收录利用系统NET编译器构建RAT案例。工具推荐包括免杀Donut、云路由C2及ROP扫描器。建议安全人员按需研读以跟进最新武器化进展。

本文分析全球智能体安全趋势，指出AIAgent风险从内容生成转向行动执行，需解决身份、权限、行为监控三大问题。国际厂商从云平台原生护栏、安全平台运行时防护、身份治理、AI暴露面管理四方向布局，详细介绍了Microsoft、AWS、PaloAlto等10家厂商的方案特点与适用场景，并针对四类企业提供选型建议，提出组合落地架构。

MicrosoftDefender扩展了对RPC协议的监控能力，通过集成Windows过滤平台实现OpNum级别细粒度检测，可识别被调用的具体RPC函数而非仅接口，重点监控进站远程RPC调用。新增检测包括Impacket攻击、可疑服务创建、LSA秘密盗窃、RPC枚举异常及认证胁迫等，支持通过高级狩猎查询RPC遥测数据，提升横向移动、凭据盗窃等攻击的可见性。

本文介绍名为KillDefender的驱动滥用技术，主要演示如何绕过WindowsDefender防护。文档包含红队工具免杀、进程注入、EDR对抗等实战技术，提供HeavenlyBypassAV等工具实现杀软绕过，同时强调技术仅限合法安全测试使用。

BlueHammer漏洞CVE-2026-33825正被勒索团伙利用，该漏洞涉及MicrosoftDefender组件，CISA已将其列入已知被利用漏洞目录。安全软件的高权限使其成为攻击目标，企业应确认补丁覆盖、复核更新链路、进行终端狩猎并补齐安全工具治理，不能完全信任单一防护工具。

KslDump技术利用微软Defender的KslD.sys驱动漏洞，通过注册表篡改和物理内存读取绕过WindowsPPL保护，窃取LSASS凭证。攻击链完全使用微软签名组件，无需外部驱动或漏洞利用。微软拒绝修复此问题，旧版驱动仍存在于系统中。建议删除旧版驱动、启用CredentialGuard和HVCI，并监控KslD服务异常。

本文简要介绍ByPassBehinder自动化免杀工具，展示其绕过360、火绒、Defender及微步沙箱等主流安全软件的效果。文章未解析技术原理，核心在于引流推广红队付费社群。该社群主打渗透测试与武器化免杀，列举了大量自研工具与文章作为卖点。整体技术深度有限，属于典型的社群引流软文，无实际可操作技术细节。

本文预警7月首周十大高危漏洞，涵盖AdobeColdFusion满分未授权RCE、两个遭勒索利用的Defender0day提权、Gitea容器逃逸及Rancher接管K8s等。多数漏洞已在野利用或公开PoC。建议立即排查并更新ColdFusion、SharePoint、EBS、Rancher等核心组件补丁，关注Chromium浏览器更新，并排查第三方运维供应链安全。

微软修复WindowsDefender的RoguePlanet漏洞CVE-2026-50656，该漏洞为本地权限提升漏洞，CVSS评分7.8，影响恶意软件防护引擎。攻击者利用竞争条件可获SYSTEM权限，PoC已公开。建议用户立即更新引擎至1.1.26060.3008版本并开启自动更新。

微软已修复Defender漏洞RoguePlanet(CVE-2026-50656,CVSS7.8),该漏洞位于恶意软件保护引擎mpengine.dll中,是一个权限提升问题,攻击者可获得SYSTEM权限。微软在引擎版本1.1.26060.3008中修复,并发布深度防御更新。用户无需手动操作,软件会自动更新。

微软于2026年7月10日发布安全更新，修复了WindowsDefender中的一个高危提权漏洞CVE-2026-50656（RoguePlanet），CVSS评分7.8。该漏洞存在于恶意软件防护引擎mpengine.dll中，攻击者可利用它将权限提升至SYSTEM。影响所有启用Defender的Windows10/11及Server系统。建议用户立即安装7月累积更新并确认引擎版本已更新。

微软修复WindowsDefender零日漏洞CVE-2026-50656，利用TOCTOU竞态条件可使本地攻击者获取SYSTEM权限，影响全量Windows系统。建议立即核实并更新防护引擎版本，限制本地管理员权限，监控系统目录异常文件移动以防横向扩散。修复后仍存在低危拒绝服务风险。

360威胁情报中心分析发现APT-C-26(Lazarus)组织使用定制化监控程序,通过伪装成远程IT人员部署。攻击流程包括禁用Defender、释放DLL和守护进程、利用Shell扩展持久化,最终实现远程桌面监控和数据窃取。该程序具备屏幕捕获、上传和远程控制功能,使用了Vault7泄露技术,归属为Lazarus组织,可能用于渗透企业窃取敏感信息。