Microsoft תיקנה שתי חולשות יום אפס מנוצלות ב-Defender, ו-CISA הוסיפה אותן ל-KEV
ב-19 במאי 2026 פרסמה Microsoft תיקון ל-CVE-2026-41091 ול-CVE-2026-45498 באנטי-וירוס Defender, שמוכרות כ-RedSun ו-UnDefend. ב-20 במאי הוסיפה CISA את שתיהן לקטלוג החולשות המנוצלות.
TL;DR בקצרה
- CVE-2026-41091, או RedSun, מעלה הרשאות ל-SYSTEM. CVE-2026-45498, או UnDefend, חוסמת עדכוני הגדרות של Defender.
- Microsoft מסמנת ששתיהן מנוצלות בפועל ושפרטיהן פורסמו לפני התיקון. CISA הוסיפה אותן ל-KEV ב-20 במאי.
- הגרסאות המתוקנות הן Malware Protection Engine 1.1.26040.8 ו-Defender Antimalware Platform 4.18.26040.7.
- לפי Microsoft, בהגדרות ברירת המחדל העדכון מגיע אוטומטית, והיא ממליצה לוודא שהוא אכן מתקין.
Microsoft סגרה ב-19 במאי 2026 שתי חולשות יום אפס באנטי-וירוס Defender: RedSun ו-UnDefend. בשתיהן Microsoft מסמנת שנצפה ניצול בפועל. ב-20 במאי הוסיפה CISA את שתיהן לקטלוג החולשות המנוצלות. לרוב המשתמשים התיקון מגיע אוטומטית. כדאי לוודא שהוא אכן הגיע.
מה עושות RedSun ו-UnDefend באנטי-וירוס של Windows
RedSun היא CVE-2026-41091, חולשה של הסלמת הרשאות מקומית. מי שכבר מריץ קוד על המחשב יכול להגיע להרשאות SYSTEM, הגבוהות ביותר ב-Windows. Microsoft מדרגת אותה כחשובה, עם ציון CVSS של 7.8. הבעיה נובעת מפתרון שגוי של קישורים לפני גישה לקובץ.
UnDefend היא CVE-2026-45498, חולשה שגורמת למניעת שירות. לפי BleepingComputer, משתמש רגיל יכול לנצל אותה כדי לחסום את עדכוני ההגדרות של Defender. Microsoft מדרגת אותה כנמוכה, עם ציון CVSS של 4.0.
למה זה חשוב? האנטי-וירוס רץ עם הרשאות גבוהות, ולכן פרצה בו מושכת תוקפים. תוקף שנכנס למחשב דרך משתמש רגיל יכול לנסות להשתלט עליו דרך RedSun. הוא יכול להוסיף את UnDefend כדי לחסום עדכוני הגדרות, וכך המחשב נשאר עם הגדרות ישנות.
את שתי החולשות חשף חוקר שמכנה את עצמו Nightmare Eclipse, לפי BleepingComputer באפריל. ב-Microsoft מציינים שפרטי שתיהן כבר היו פומביים לפני התיקון.
ניצול בפועל: מה תיעדה Huntress באפריל
חברת Huntress תיעדה ב-20 באפריל 2026 חדירה אחת לארגון. היא התחילה בהתחברות לשער VPN מסוג FortiGate עם פרטי כניסה של משתמש. התוקף ניסה להריץ ב-10 באפריל את BlueHammer, חולשה שלישית ש-Microsoft כבר סגרה, וב-16 באפריל את RedSun ואת UnDefend.
לפי Huntress, אף אחד מהכלים לא הצליח במלואו בחדירה הזאת. Defender חסם את BlueHammer, והצוות של Huntress עצר את UnDefend. בזמן הדוח RedSun ו-UnDefend עדיין לא תוקנו. המקרה מראה איך הכלים האלה משתלבים אחרי כניסה דרך VPN.
ב-20 במאי הוסיפה CISA את שתי החולשות לקטלוג ה-KEV. לפי BleepingComputer, סוכנויות פדרליות בארה״ב צריכות לטפל בהן עד 3 ביוני. באותה הוספה נכללו גם חמש חולשות ישנות מ-2008 עד 2010 ב-Windows, ב-DirectX, ב-Internet Explorer וב-Acrobat.
איך בודקים שהתיקון של RedSun הגיע
עבור RedSun, הגרסה המתוקנת של Malware Protection Engine היא 1.1.26040.8. הגרסה הפגיעה היא 1.1.26030.3008 ומטה. עבור UnDefend, הגרסה המתוקנת של Defender Antimalware Platform היא 4.18.26040.7. הגרסה הפגיעה שם היא 4.18.26030.3011 ומטה.
Microsoft מסבירה שבהגדרות ברירת המחדל Defender מתעדכן לבד, ולכן אין צורך בפעולה. היא ממליצה לוודא שהעדכון מגיע בסביבה שלכם. כדי לבדוק, פתחו את Windows Security ובחרו Virus & threat protection. משם נכנסים ל-Protection updates ולוחצים Check for updates. אחר כך בודקים בהגדרות, תחת About, את Antimalware Client Version.
לפי Microsoft, מחשב שבו Defender כבוי אינו במצב שאפשר לנצל את החולשות. אותו מנוע משמש גם מוצרי אבטחה נוספים של החברה, וביניהם System Center Endpoint Protection ו-Microsoft Security Essentials.
מה זה אומר עבורכם
- בדקו גרסאות: ב-Protection updates לחצו על Check for updates, והשוו ל-1.1.26040.8 ול-4.18.26040.7.
- בארגון, אל תחסמו את הערוץ: ודאו שעדכוני Defender מגיעים דרך ה-proxy, ה-WSUS או מדיניות הקבוצה בלי עיכוב.
- חפשו עקבות: בדקו הרצה של RedSun.exe או undef.exe מתיקיות כמו Pictures ו-Downloads, כפי שמציעה Huntress.
- שמרו על ה-VPN: החדירה שתועדה התחילה בפרטי כניסה לשער FortiGate. בדקו אם אותו חשבון התחבר ממדינות שונות בזמן קצר.
מקורות והרחבה
- CVE-2026-41091 Microsoft Defender Elevation of Privilege VulnerabilityMicrosoft
- CVE-2026-45498 Microsoft Defender Denial of Service VulnerabilityMicrosoft Security Response Center
- CISA Adds Seven Known Exploited Vulnerabilities to CatalogCISA
- Nightmare-Eclipse Tooling Seen in Real-World IntrusionHuntress
- Microsoft warns of new Defender zero-days exploited in attacksBleepingComputer
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
