Zero-day u Microsoft Defenderu: Napadač navodi ugrađeni antivirus da mu otključa SYSTEM
Microsoft Defender, antivirusni program ugrađen u Windows, hakeri već aktivno zloupotrebljavaju za pribavljanje najviših privilegija na sistemu. Microsoft je potvrdio da se zero-day ranjivost u Microsoft Defenderu (CVE-2026-41091, CVSS 7.8) već aktivno koristi, od kada je javno objavljena. Propust je u Microsoft Malware Protection endžinu (mpengine.dll), tipa „link following” (CWE-59): napadač podmetne lažnu prečicu, pa kada Defenderov skener krene da je pročita, biva preusmeren na zaštićeni sistemski fajl — a pošto sam radi sa administratorskim pravima, time napadaču predaje sistemski nivo privilegija. Za napad je potreban lokalni pristup mašini, ali je složenost niska i ne traži nikakvu akciju korisnika. Microsoft je 19. maja 2026. izdao zakrpu: pogođene su verzije endžina do 1.1.26030.3008, a propust je ispravljen u 1.1.26040.8. Pošto se endžin podrazumevano sam ažurira, većina kućnih i poslovnih sistema ne mora ništa ručno da radi — pod uslovom da to automatsko ažuriranje stvarno radi.
Najveći rizik ovde nije sam propust, nego pretpostavka na koju se svi oslanjaju: „Defender se sam ažurira, pa je to rešeno”. Baš zato što to retko ko proverava, dovoljno je da se na nekoj mašini automatsko ažuriranje zaglavi mesecima — i eto belaja. To može da bude mašina niskog prioriteta, ali i sistem koji ima najviše privilegije i kome svi veruju. Koliko firmi kod nas zaista zna da li im je Defender endžin svuda na poslednjoj verziji, ili to samo pretpostavljaju?
- Proveriti da li je Microsoft Malware Protection Engine svuda na verziji 1.1.26040.8 ili novijoj — ne pretpostavljati da jeste
- Potvrditi da automatsko ažuriranje endžina stvarno radi na svim mašinama, a ne samo da je nominalno uključeno
- Na izloženim mašinama pregledati tragove eskalacije privilegija i neuobičajene SYSTEM aktivnosti
- Ignorisati false-positive rezultate na sistemima gde je Defender namerno isključen — neaktivni binarni fajlovi ne mogu da se zloupotrebe kroz ovu ranjivost
- Pratiti Microsoftove savete za ranjivost CVE-2026-41091