Microsoft Defender’da “RedSun” Sıfır Gün Açığı: SYSTEM Yetkisi Veren Exploit Doğrulandı

Microsoft Defender’da tespit edilen ve “RedSun” olarak adlandırılan yeni bir sıfır gün (zero-day) açığına ait çalışan istismar kodu (PoC) kamuoyuyla paylaşıldı. Güvenlik araştırmacısı “Chaotic Eclipse” tarafından yayımlanan kodun, Windows sistemlerde en yüksek yetki seviyesi olan SYSTEM erişimi sağladığı bildirildi.

Açığın, Windows 10, Windows 11 ve Windows Server sistemlerinde en son güvenlik güncellemeleri yüklü olsa bile çalıştığı ifade edildi.

 “Sistem Dosyaları Üzerine Yazma Davranışı Kullanılıyor”

Araştırmacı, açığın Microsoft Defender’ın bir davranışından kaynaklandığını belirterek,
“Defender, bulduğu dosyayı orijinal konumuna yeniden yazıyor ve bu davranış istismar edilerek sistem dosyalarının üzerine yazılabiliyor.” açıklamasında bulundu.

Paylaşılan PoC’nin bu mekanizmayı kullanarak kritik sistem dosyalarını değiştirip yönetici yetkisi elde ettiği aktarıldı.

 Bağımsız Uzman Doğruladı

Güvenlik analisti Will Dormann, açığın çalıştığını doğrulayarak,
“Exploit, tamamen güncel sistemlerde SYSTEM yetkisi elde edebiliyor.” ifadelerini kullandı.

Dormann, saldırı zincirini teknik olarak şu sözlerle açıkladı:
“Cloud Files API kullanılarak dosya yazılıyor, ardından yönlendirme teknikleriyle bu dosya sistem dizinine aktarılıyor ve altyapı bu dosyayı SYSTEM yetkisiyle çalıştırıyor.”

 Tam Sistem Kontrolü Mümkün

Uzmanlara göre saldırganlar bu yöntemle:

• Sistem dosyalarını değiştirme
• Zararlı yazılım yerleştirme
• Cihaz üzerinde tam kontrol sağlama

gibi kritik yetkilere ulaşabiliyor.

 İkinci Sıfır Gün Açığı

Aynı araştırmacı bir hafta önce “BlueHammer” adı verilen başka bir Microsoft Defender açığını daha yayımlamıştı. Bu açık daha sonra CVE-2026-33825 koduyla takip edilerek Microsoft tarafından yamalanmıştı.

 Microsoft ile Gerilim İddiası

Araştırmacı, sıfır gün açıklarını yayımlama kararını Microsoft ile yaşadığı süreçle ilişkilendirerek,
“Sorunu bildirme sürecinde ciddi sorunlar yaşadım ve bu nedenle detayları kamuya açıklamayı tercih ettim.” dedi.

Microsoft ise yaptığı açıklamada,
“Bildirilen güvenlik açıklarını incelemek ve kullanıcıları korumak için gerekli güncellemeleri sağlamak temel önceliğimizdir.” ifadelerini kullandı.

Kaynak: Beykozun Sesi