深度观察网2026年07月10日 16:07消息，Win11 6月更新引发磁盘异常占用与应用崩溃，微软紧急修复，用户需谨慎安装。
7 月 10 日消息，微软于 7 月 8 日正式发布安全公告，通过更新微软恶意软件防护引擎（Microsoft Malware Protection Engine），修复了一个编号为 CVE-2026-50656 的高危漏洞，该漏洞被命名为“RoguePlanet”。根据美国国家漏洞数据库（NVD）公布的CVSS 3.1评分，其严重性达7.8分，属于“高危”等级——这意味着它虽未达到远程代码执行类漏洞的极端破坏力，但已具备在无需用户交互前提下实现本地提权的关键能力，对终端安全构成实质性威胁。
据微软官方技术博客披露，该漏洞由安全研究员NightmareEclipse于今年6月独立发现并负责任地向微软披露。值得注意的是，这一漏洞并非存在于传统意义上的应用层或驱动模块，而是深植于Windows内置安全防线的核心组件——Microsoft Defender扫描引擎内部，具体源于一处罕见且隐蔽的竞态条件（race condition）。攻击者可借此绕过所有常规权限检查机制，直接获取NT AUTHORITY\SYSTEM级别的最高系统权限。一旦得手，命令提示符将以SYSTEM身份静默弹出，整个设备即处于完全失控边缘。
更值得警惕的是，获得SYSTEM权限后，攻击者所拥有的操作自由度远超一般想象：不仅能任意安装持久化后门、读取加密凭证、删除关键日志，还可主动禁用Defender实时防护甚至卸载其服务进程；更进一步，还能利用被控主机作为跳板，在内网中横向渗透其他设备——这使得单点失守可能迅速演变为整网沦陷，对政企用户而言尤为致命。
然而，安全修复从来不是一劳永逸的终点。7月9日，发现者NightmareEclipse发布后续分析博文，指出此次补丁引入的新缓解机制反而埋下了新的隐患：在特定文件打开场景下，mpengine.dll组件存在8字节内存泄漏问题。虽单次泄漏量极小，但在高频扫描或长期运行环境中，可能逐步累积影响稳定性。这一细节提醒我们：底层安全组件的每一次热修复，都需在“防御强度”与“运行健壮性”之间反复权衡——而现实往往没有完美解，只有更审慎的妥协。
尤为值得关注的是另一项深度技术发现：mpengine.dll中的Spynet函数在处理文件时，会无差别缓存所有附加数据流（ADS），包括常见的:Zone.Identifier流。无论该ADS体积多大（例如数GB的伪造流），Defender均会将其完整载入本地临时存储。当此逻辑遭遇恶意构造的SMB服务器时——比如将mimikatz.exe与其超大尺寸的ADS绑定，并在读取响应过程中刻意挂起连接——Defender引擎将陷入无限等待状态，最终导致文件句柄锁定、磁盘空间被持续占满。这种攻击不触发蓝屏，却能让系统陷入“软瘫痪”：资源耗尽、服务随机崩溃、响应迟滞——恰恰是最难诊断、最易被忽视的“慢性中毒”式破坏。
从RoguePlanet漏洞的发现到补丁落地，再到补丁副作用的快速暴露，整个过程再次印证一个基本事实：现代终端安全已不仅是“防得住”的问题，更是“扛得住”“稳得住”的系统工程。当杀毒引擎本身成为攻击面和故障源，我们或许需要重新思考：过度依赖单一内置防护是否正在悄然抬高整体风险基线？对于普通用户而言，及时安装7月8日发布的引擎更新仍是当务之急；但对于IT管理者，更应借此次事件推动纵深防御体系建设——例如启用基于虚拟化的安全（VBS）、强化ADS监控策略、限制非必要SMB共享暴露面，而非将全部信任托付于一个不断打补丁的扫描引擎。
