תיקון ל-Defender עלול למלא את הכונן

מיקרוסופט הפיצה ביום רביעי תיקון לחולשת אפס ימים במנוע האבטחה של Microsoft Defender, אך לצד סגירת הפרצה עלתה גם אזהרה חדשה: החוקר שחשף את הפגם טוען כי העדכון עלול לגרום למחשבי Windows לכתוב קבצים בנפח שימצה את כל המקום הפנוי בדיסק.

החולשה, שמסומנת CVE-2026-50656 ומכונה RoguePlanet, נחשפה לציבור ביוני על ידי חוקר הפועל בשם הבדוי NightmareEclipse. לדבריו, הפרצה מאפשרת לתוקפים מרחוק להשיג שליטה ברמת מנהל מערכת על מחשבי Windows 10 ו-Windows 11, ואף לעקוף מצב שבו ההגנה בזמן אמת כבויה. החשיפה כללה גם קוד שמדגים כיצד ניתן לנצל את הפגם, צעד שהגביר את הלחץ על מיקרוסופט לספק מענה מהיר.

הפרצה נסגרה, אבל נפתחה דאגה חדשה

לפי הודעת מיקרוסופט, התיקון נכלל בעדכון למנוע Microsoft Malware Protection Engine — הרכיב שמשרת את אפליקציית האנטי-וירוס Defender. בחברה הדגישו כי ההתקנה מתבצעת אוטומטית, ללא צורך בפעולה מצד המשתמש, וכי העדכון כולל גם שיפורי אבטחה נוספים שנועדו לחזק מנגנוני הגנה קיימים.

אלא שלדברי NightmareEclipse, התיקון אינו חף מתופעות לוואי. החוקר הזהיר כי הוא עלול להביא לכתיבת קבצים בגודל בלתי מוגבל כמעט, עד למצב שבו הכונן הקשיח או ה-SSD מתמלא לחלוטין. אם אכן מדובר בהתנהגות שניתנת לשחזור, המשמעות עלולה להיות לא רק ירידה בביצועים, אלא גם שיבוש של פעילות שוטפת במחשב, כישלון בהתקנת עדכונים נוספים ופגיעה ביכולת של יישומים ומערכות לשמור מידע חדש.

למה זה חשוב דווקא ב-Defender

האירוע חריג משום שהוא נוגע לאחד מרכיבי האבטחה הנפוצים ביותר בעולם המחשוב האישי והארגוני. Defender משולב כברירת מחדל ב-Windows, ובמקרים רבים הוא פועל ברקע אצל מיליוני משתמשים מבלי שיידרשו לבחור או להתקין פתרון אבטחה נפרד. לכן כל תקלה במנוע ההגנה שלו — בוודאי כזו שמופצת אוטומטית — עשויה להשפיע במהירות על היקף רחב של תחנות קצה.

הטענה שלפיה ניתן היה לנצל את הפרצה גם כאשר ההגנה בזמן אמת כבויה מוסיפה ממד נוסף של חומרה. בדרך כלל משתמשים מניחים שכיבוי רכיב מסוים מצמצם את שטח התקיפה של אותה מערכת, אך כאן נטען שהבעיה נמצאת עמוק יותר, ברמת מנוע ההגנה עצמו. זה גם מסביר מדוע התיקון הופץ ישירות למנוע ולא כחלק מעדכון מערכת גדול יותר.

חוקר שכבר הלחיץ את מיקרוסופט בעבר

NightmareEclipse אינו שם חדש עבור מי שעוקב אחרי תחום אבטחת Windows. בחודשים האחרונים פרסם החוקר כמה חולשות אפס ימים נוספות, מה שאילץ את מיקרוסופט להאיץ פיתוח והפצה של תיקונים. העובדה שגם הפעם החשיפה לוותה בקוד ניצול מעשי הפכה את האירוע לרגיש יותר מבחינת לוחות הזמנים: כאשר דרך התקיפה פומבית, חלון הזמן עד לניצול בידי גורמים עוינים מתקצר משמעותית.

מבחינת משתמשים וארגונים, התמונה מורכבת: מצד אחד, מדובר בתיקון חשוב לפרצה שמיוחסת לה יכולת השתלטות מרחוק בהרשאות גבוהות במיוחד. מצד שני, אם יתברר שהעדכון עצמו יוצר עומס חריג על האחסון, מנהלי מערכות יצטרכו לעקוב מקרוב אחרי תחנות קצה, לבדוק שימוש בדיסק ולוודא שאין תהליך לא תקין שנלווה לעדכון.

נכון לעכשיו, מיקרוסופט הודיעה כי התיקון כבר נכלל בעדכון למנוע ההגנה ומופץ אוטומטית למשתמשי Windows 10 ו-Windows 11 יחד עם עדכוני הקשחת אבטחה נוספים.