Microsoft möter motreaktion från säkerhetsgemenskapen på grund av Nightmare Eclipse

Microsofts offentliga hot om att väcka åtal mot forskaren bakom sex nolldagsavslöjanden i Windows har förvandlat en sårbarhetstvist till en fullskalig motreaktion från säkerhetsgemenskapen.

Forskaren, känd som Nightmare Eclipse, publicerade beväpnad proof-of-concept-kod för sex Windows-sårbarheter mellan början av april och mitten av maj 2026 utan att samordna med Microsoft. Tre brister, BlueHammer, RedSun och UnDefend, har utnyttjats i liveattacker. YellowKey, GreenPlasma och MiniPlasma är fortfarande inte åtgärdade.

Microsoft skjuter tillbaka

Microsoft publicerade ett formellt blogginlägg den 28 maj där man beskriver avslöjandena som "aldrig försvarbara" och varnar för att dess Digital Crimes Unit skulle driva fall mot alla som möjliggör kriminell verksamhet genom exploateringskod. Företaget anklagade forskaren för att kringgå samordnade standarder för avslöjande av sårbarheter.

Mardröms Eclipse bestrider detta. Forskaren hävdar att Microsoft raderade Security Response Center-kontot som användes för att lämna in de ursprungliga felrapporterna och vägrade ytterligare kontakt. "Du raderade bokstavligen det Microsoft-konto som jag använde för att rapportera buggar till dig med, och jag fick noll pennies från att göra det", skrev forskaren.

Gemenskapens pushback

Säkerhetsbranschen står inte på Microsofts sida. Katie Moussouris, som var pionjär inom buggpremieprogram på Microsoft och myntade det samordnade ramverk för avslöjande som företaget nu åberopar, kritiserade offentligt blogginlägget på Bluesky. Att åberopa "ansvarsfullt avslöjande" var det första problemet, skrev hon. Att lägga till ett åtalshot från Digital Crimes Unit gjorde det hela värre och skulle få forskare att sluta lita på Microsoft.

Kevin Beaumont, en före detta säkerhetsingenjör på Microsoft, kallade situationen för "en soptipp som de själva har skapat" och noterade att Microsoft tidigare anställt SandboxEscaper efter att hon publicerat nolldagars exploateringskod utan varning, ett beteende som Redmond nu beskriver som kriminellt.

Vad som fortfarande inte är patchat och vad som kommer härnäst

Mardröms Eclipse bannlystes från GitHub runt den 23 maj och GitLab den 26-27 maj, och publicerar nu från en personlig blogg. En exploateringsutgåva den 14 juli som riktar sig till juli Patch Tuesday är fortfarande ett hot, med varningar om eskalering till sårbarheter för fjärrkodkörning.

Administratörer bör behandla YellowKey, GreenPlasma och MiniPlasma som aktiva risker. För YellowKey kräver Microsofts begränsning manuell redigering av offline WinRE-registerhive och borttagning av autofstx.exe från BootExecute-värdet.

En TPM + PIN-konfiguration före start skär av den fysiska extraktionsvägen helt. Defender-motor version 1.1.26040.8 eller senare hanterar RedSun och UnDefend, och den uppdateringen bör inte vänta på ett schemalagt underhållsfönster.