Дослідник безпеки виклав GitHub одразу три zero-day експлойти Windows

Історія починається багатообіцяюче та правильно, але закінчується дуже погано.

Дослідник під псевдонімом Nightmare Eclipse намагався повідомити Microsoft про баг у Windows Defender, який дозволяє підвищити привілеї.

За його словами, процес репорту вразливості йшов вкрай погано: у Microsoft нібито не лише відмахнулися від звіту, а ще й почали тиснути на нього. У результаті 3 квітня він опублікував на GitHub експлойт BlueHammer, а 16 квітня виклав ще два — RedSun і UnDefend.

Вже 17 квітня компанія Huntress підтвердила, що всі три інструменти вже використовують реальні зловмисники проти реальних цілей.

Ланцюжок атаки, який вони зафіксували, виглядав так:

1. Спочатку викрадають VPN-облікові дані для первинного доступу
2. Далі UnDefend — щоб заблокувати оновлення сигнатур MS Defender (щоб їх не виявили)
3. Потім RedSun — для підвищення привілеїв до рівня SYSTEM.
4. Після цього атакувальник може рухатися мережею далі, тоді як Defender фактично «сліпий».

Microsoft закрила BlueHammer під час останнього Patch Tuesday, присвоївши вразливості ідентифікатор CVE-2026-33825.

А от RedSun і UnDefend досі без CVE, без патчів і без будь-яких публічних термінів виправлення.

Сумно бачити, що процес репорту вразливостей ламається настільки, що людина врешті публікує експлойти. Це погано та впливає на індустрію надзвичайно руйнівно.

Водночас, дослідника можна зрозуміти.

Схожі історії повторюються знову і знову: дослідники намагаються діяти правильно, розкривають вразливості, та компанії просто ігнорують репорти та кажуть ’це неважливо’ або ’це не вразливість, це by design’.

Це нагадало мені добре відомі в Україні історії під хештегом #FuckResponsibleDisclosure — коли державна установа чи компанія просто ігнорує ризик, заявляючи, що «це не вразливість». І потім дослідники викладають якусь частину проблеми публічно — тим самим змушуючи державу рухатись, опровергати та усувати вразливості (але, на жаль, деколи вразливості продовжують ігнорувати).

Україна живе з такими кейсами вже не перший рік.

Цього тижня Patch Tuesday був особливо масштабним.

Як завжди, додаю для вас накритичніші вразливості за останній тиждень.

CVE Priority Alert

— 167 Microsoft CVEs, одна з них SharePoint spoofing вразливість, яка вже експлуатується (CVE-2026-32201)
— Critical Fortinet FortiSandbox патчі (CVE-2026-39808, CVE-2026-39813)
— Critical Cisco ISE та Webex вразливості, включаючи SSO bypass (CVE-2026-20184)
— Apache ActiveMQ було додано до CISA KEV (CVE-2026-34197)

Ви знаєте, що робити. Встановлюємо патчі!

Що думаєте про такі публікації zero-day експлойтів? Ви б вчинили так само? 🤔

.

Підписуйтесь на мій Telegram-канал та додавайтесь у LinkedIn.