CISA geeft Windows beheerders tot 3 juni om Nightmare Eclipse Defender fouten te repareren

Federale instanties hebben tot 3 juni de tijd om fixes toe te passen voor twee actief misbruikte Microsoft Defender kwetsbaarheden die verband houden met de Nightmare Eclipse openbaarmakingscampagne. Met die deadline over 48 uur, zijn er nog drie andere Windows zero-days van dezelfde onderzoeker niet gepatcht, en 9 juni is de volgende kans die Microsoft heeft om ze te verhelpen.

De saga begon begin april toen Nightmare Eclipse BlueHammer (CVE-2026-33825) liet vallen, gepatcht in de 14 april Patch Tuesday waarvan de CISA deadline begin mei verstreek. Het huidige aftellen is verankerd door een aparte CISA-actie op 20 mei, waarbij RedSun (CVE-2026-41091) en UnDefend (CVE-2026-45498) toegevoegd aan de catalogus met bekende geëxploiteerde kwetsbaarheden nadat Huntress had bevestigd dat ze actief werden geëxploiteerd in echte aanvallen. CISA verplichtte herstel onder Bindende Operationele Richtlijn 22-01 met een venster van 14 dagen.

Wat de gepatchte zwakke plekken doen

RedSun richt zich op de Defender tiering engine om privileges te laten escaleren naar SYSTEM. UnDefend activeert een denial-of-service-conditie in het Antimalware Platform, waardoor Defender volledig wordt verblind en er een venster ontstaat waarin ransomware kan worden ingezet of laterale bewegingen kunnen plaatsvinden zonder dat er waarschuwingen worden geactiveerd.

Beide zijn verholpen in Malware Protection Engine 1.1.26040.8 en Antimalware Platform 4.18.26040.7. Controleer deze versienummers in de beveiligingsinstellingen van Windows vóór 3 juni.

Drie fouten zonder patch

YellowKey (CVE-2026-45585) omzeilt BitLocker op TPM-only systemen via de Windows Recovery Environment, waardoor fysieke toegang mogelijk is om versleutelde schijven te ontgrendelen zonder een herstelsleutel. GreenPlasma is een CTFMON-fout door privilege-escalatie zonder CVE en zonder patch. MiniPlasma maakt opnieuw gebruik van CVE-2020-17103 in cldflt.sys, een fout in 2020 waarvan de patch ofwel onvolledig was of stilletjes werd teruggedraaid.

ThreatLocker en Will Dormann hebben bevestigd dat het nog steeds een SYSTEM-shell produceert op volledig gepatchte Windows 11 en Windows Server 2022 en 2025. Windows 10 wordt niet beïnvloed, wat van belang is voor teams die gemengde wagenparken beheren.

Voor YellowKey voert u reagentc /disable uit, koppelt u de offline WinRE register hive, verwijdert u autofstx.exe van BootExecute onder ControlSet001ControlSession Manager en voert u reagentc /enable uit om de wijziging vast te leggen. Verander BitLocker waar mogelijk van TPM-only naar TPM+PIN.

Nachtmerrie Eclipse heeft een release op 14 juli aangekondigd, gericht op de Patch Tuesday van die maand.