事件概述：CVE-2026-50656 修補反而打開新風險
Microsoft 於 7 月 8 日（週三）推送 Windows Defender 防毒引擎（Microsoft Malware Protection Engine）的安全更新，原意是要修補已被公開揭露的零時差漏洞 CVE-2026-50656（代號「RoguePlanet」）。但發現這個漏洞的安全研究人員 NightmareEclipse 在 7 月 9 日指出，這個修補程式本身的「縱深防禦（defense-in-depth）」機制會讓 mpengine.dll 在特定情境下持續把資料寫入硬碟，最終可能耗盡所有可用磁碟空間。
漏洞本質：把防毒軟體變成 SYSTEM 權限後門
CVE-2026-50656 在 6 月中由 NightmareEclipse 公開並附帶 exploit 代碼，被追蹤為 Improper Link Resolution（檔案存取前的鏈結解析瑕疵），存在於 Windows 10 與 Windows 11 的 Microsoft Malware Protection Engine 中。攻擊者只要在本機執行，就能從普通使用者權限提升到 SYSTEM 等級，即便使用者已經關閉了 Defender 的即時保護，漏洞依然有效。
NightmareEclipse 在 7 月 9 日的技術文章中指出：「Microsoft 在 6 月悄悄強化了 mpengine!SysIO* API 家族，但這個縱深防禦的副作用讓 mpengine.dll 在開檔時洩漏 8 bytes 資料。」
這意味著在 6 月修補前的視窗內，全球使用 Windows Defender 的裝置都暴露在 SYSTEM 權限被劫持的風險下，至少維持 29 天才等到 7 月 8 日的官方修補。
新修補的副作用：磁碟被塞爆的攻擊鏈
原本 Microsoft 在修補 RoguePlanet 的同時加入了新的「縱深防禦」邏輯，但 NightmareEclipse 發現這個新邏輯並未正確處理一個特殊的輔助資料流（Alternate Data Stream，簡稱 ADS）——也就是 Windows 自動為從網路下載的檔案產生的 Zone.Identifier 標記。
攻擊鏈的核心流程如下：
- 攻擊者架設一個惡意的 SMB（Server Message Block）檔案分享伺服器，這在企業內網或被入侵的家庭網路都很常見。
- 受害者透過 SMB 路徑讀取一個看似正常的檔案（例如包裝成 mimikatz 這類滲透工具）。
- 伺服器回應時夾帶一個極大的 Zone.Identifier ADS（例如
mimikatz.exe:Zone.Identifier，大小可以拉到 GB 等級）。 - Windows Defender 為了掃描這個 ADS 觸發新邏輯，開始把整個 ADS 快取到本機硬碟。原本的硬性上限只規範掃描的檔案本身，並未涵蓋這個 ADS 路徑。
- 當 SMB 伺服器故意對某次讀取請求「不回應但保持連線」，Defender 就會卡住並持續持有檔案鎖，磁碟空間被該 ADS 整個塞滿。
NightmareEclipse 在文中直言：「這顯然不會讓電腦當機，但磁碟全滿的 Windows 會行為失常，多個應用程式和服務會隨機崩潰。」
由於 SMB 通訊在 Windows 內網屬於常見協定，這條攻擊鏈對企業環境具體的針對性非常高。
為什麼這件事重要
這是今年 Microsoft Defender 引擎第四次被 NightmareEclipse 成功開天窗——前三次依序是 BlueHammer（CVE-2026-33825）、UnDefend（CVE-2026-45498）等。每一次都呈現同樣的循環：研究人員私下回報 → Microsoft 默默修補但未公開 CVE 編號 → 研究人員憤而釋出 exploit 代碼 → Microsoft 公開抱怨對方「不負責任」並揚言提告 → 輿論反彈 → Microsoft 撤銷法律行動。
編按：本文綜合整理自 Ars Technica、The Hacker News、Microsoft MSRC 官方公告，並加入 Siami 編輯部觀點與分析。
數據解讀與質疑
微軟在 MSRC 公告中將 CVE-2026-50656 列為 「Exploitation More Likely（被利用的可能性較高）」，並強調發布時「未觀察到實際野外攻擊」。然而 6 月初 exploit 代碼就已在 GitHub 與研究人員個人管道釋出，NightmareEclipse 自陳「在部分機器上成功率達 100%，另一些則完全失敗」——這個落差說明漏洞的觸發帶有明顯的時序競爭（race condition）特徵，難以被動態掃描器捕捉。
更值得警惕的是，修補帶來新風險本身就是嚴重的工程訊號：本應用「縱深防禦」這種較保守的硬化手段，結果反而在 mpengine.dll 內製造出可被用來耗盡磁碟的新攻擊面。對企業 IT 而言，部署這次 7 月 8 日更新的同時，必須假設 Defender 仍可能在 SMB 場景下觸發磁碟異常填滿——這也是 Ars Technica 原文中「Microsoft 沒有立即回應能否確認該行為存在」的真正風險所在。
後續追蹤與防禦建議
- 個人使用者：確認 Windows Update 已安裝 7 月 8 日（含）以後的 Defender engine 更新，版本號需為 1.1.26080.1 或更新。自動更新機制會在背景推送，無需手動操作。
- 企業 IT：對 SMB 對外連線做嚴格 ACL 控管；對關鍵伺服器部署磁碟配額（Disk Quota）與監控報警；考慮把 Defender 加到變更管控視窗，避免在離峰時段意外觸發 ADS 寫入。
- 長期觀察：NightmareEclipse 與 Microsoft 的「公開 vs 私下揭露」爭議在 7 月 9 日的攻防中仍未平息。Siami 將持續追蹤雙方後續是否再次出現「先公開、後修補」的循環。