Update Microsoft Defender Ternyata Punya Celah Baru? Hacker Bisa Penuhi Storage Windows Hingga Habis

Belum lama ini Microsoft merilis pembaruan darurat untuk Microsoft Defender guna menutup celah keamanan rawan nan dikenal dengan nama RoguePlanet (CVE-2026-50656).

Namun siapa sangka guys, setelah patch tersebut dianalisis lebih dalam, seorang peneliti keamanan justru menemukan potensi masalah baru nan cukup mengkhawatirkan.

Nah jadi guys, meskipun celah utamanya memang sukses ditutup, pembaruan terbaru Defender disebut tetap bisa dimanfaatkan untuk membikin ruang penyimpanan Windows penuh hingga habis.

Awalnya untuk Menutup Celah RoguePlanet

Sedikit info tambahan, RoguePlanet merupakan celah keamanan nan ditemukan pada Malware Protection Engine (mpengine.dll) milik Microsoft Defender.

Dimana kerentanan ini memungkinkan penyerang melakukan Elevation of Privilege, ialah meningkatkan kewenangan akses di dalam sistem Windows, mendapati perihal tersebut, Microsoft kemudian memperbaikinya melalui pembaruan Microsoft Defender Engine jenis 1.1.26060.3008, dimana seluruh jenis sebelumnya, termasuk 1.1.26050.11, dinyatakan rentan terhadap serangan tersebut.

Peneliti Menemukan Efek Samping Baru

Namun setelah melakukan proses reverse engineering terhadap Defender jenis terbaru, peneliti keamanan Nightmare-Eclipse menemukan beberapa perihal nan cukup menarik.

Yang pertama adalah dugaan adanya information leak sebesar 8-byte nan muncul akibat sistem pertahanan baru Microsoft.

Meski saat ini kebocoran tersebut hanya dapat diakses melalui kernel driver dan belum bisa dieksploitasi dari aplikasi biasa, penelitian mengenai tetap terus dilakukan. Namun temuan nan jauh lebih mengkhawatirkan justru datang dari sistem penyimpanan cache Defender.

Nah normalnya Microsoft Defender mempunyai pemisah ukuran file nan boleh dipindai maupun dikarantina agar tidak memenuhi penyimpanan.

Masalahnya, menurut peneliti, pembatasan tersebut tidak bertindak untuk Zone.Identifier Alternate Data Stream (ADS) nan digunakan Defender sebagai cache.

Akibatnya, penyerang dapat membikin Defender terus menyimpan info dalam ukuran sangat besar hingga kapabilitas storage Windows perlahan habis.

Serangan Dilakukan Lewat SMB

Nah dalam proof of concept (PoC) nan dipublikasikan peneliti, serangan dilakukan menggunakan server SMB berbahaya, dimana server tersebut mengirimkan file beserta Zone.Identifier ADS berukuran sangat besar.

Yang membikin masalah semakin parah, server kemudian sengaja memperlambat proses pembacaan file namun tetap mempertahankan hubungan SMB tetap aktif.

Akibatnya Defender menganggap proses tetap berjalan sehingga file cache tidak pernah dibersihkan.

Semakin lama hubungan dipertahankan, semakin besar pula ruang penyimpanan nan digunakan hingga akhirnya drive Windows bisa penuh sepenuhnya.

Tidak Hanya Windows 11

Selain itu, menariknya teknik ini sukses direproduksi pada Windows 11 25H2 dan Windows Server 2025, apalagi peneliti sekarang juga sedang menguji apakah metode serupa dapat dilakukan melalui WebDAV.

Jika berhasil, maka serangan tidak lagi memerlukan server SMB dan berpotensi dilakukan langsung melalui internet.

Sementara itu, hingga tulisan ini ditulis, Microsoft belum memberikan pernyataan resmi mengenai temuan baru ini, meskipun memang mereka sudah mengonfirmasi bahwa RoguePlanet telah diperbaiki melalui pembaruan Defender terbaru.

Nah jika hasil penelitian ini valid, besar kemungkinan Microsoft bakal kembali merilis pembaruan tambahan untuk memperbaiki sistem cache pada Microsoft Defender.

Untuk kita sebagai pengguna, intinya sih tidak ada tindakan unik nan bisa kita lakukan, namun pastikan saja bahwa Microsoft Defender selalu berada pada jenis terbaru dan menunggu pembaruan resmi andaikan Microsoft nantinya mengonfirmasi kerentanan tersebut.

Via : Project Nightmare