CVE-2026-41091漏洞详解：Microsoft Defender权限提升漏洞全面分析

一、漏洞概述

CVE-2026-41091是Microsoft Defender中的一个高危权限提升漏洞，也被称为"RedSun"漏洞。该漏洞属于零日攻击漏洞，已被攻击者在实际攻击中利用，对Windows系统安全构成严重威胁。漏洞影响Microsoft恶意软件防护引擎1.1.26030.3008及更早版本，该引擎负责微软杀毒和反间谍软件的扫描、检测与清理功能。

从技术分类来看，CVE-2026-41091属于链接跟随漏洞(CWE-59)，CVSS评分为7.8分，属于高危级别漏洞。该漏洞源于文件访问前对链接解析处理不当，攻击者可借此获取SYSTEM级权限，完全控制系统。具体来说，漏洞存在于Microsoft Defender的云文件恢复机制中，当Defender检测到带有云文件属性的恶意文件时，会尝试将其恢复到原始位置。然而，在恢复过程中，Defender没有正确验证目标路径是否存在重解析点(符号链接、目录联接等)，导致攻击者可以利用机会锁(OPLOCK)制造竞争条件，将Defender的SYSTEM级写入操作重定向到任意系统目录。

下表概述了CVE-2026-41091漏洞的关键信息：

CVE-2026-41091漏洞的发现和公开时间线如下：

2026年4月3日：安全研究员Chaotic Eclipse公开BlueHammer漏洞(CVE-2026-33825)PoC2026年4月14日：微软在月度补丁中修复BlueHammer2026年4月16日：公开RedSun和UnDefend漏洞PoC，可绕过4月补丁2026年4月17日：Huntress确认在野利用开始2026年5月19日：微软正式分配CVE-2026-41091(RedSun)和CVE-2026-45498(UnDefend)2026年5月20日：CISA将两个漏洞加入KEV目录，修复截止日期6月3日2026年5月21日：微软发布安全更新，修复两个漏洞

微软对这种未经协调的漏洞披露方式表达了强烈批评，指出这类漏洞的技术细节在补丁尚未就绪时便被曝光，直接将未受保护的系统暴露在攻击者面前。微软强调，安全研究员应遵循业界通行的协调漏洞披露(CVD)流程，先将发现私下提交给厂商，留给对方调查、评估和开发补丁的时间，随后才公开技术信息。

该漏洞的影响范围广泛，包括Windows 10 21H2及以上版本、Windows 11 22H2及以上版本、Windows Server 2019及以上版本以及Microsoft Defender Antimalware Platform版本低于1.1.26040.8的系统。美国网络安全和基础设施安全局(CISA)已将此漏洞加入"已知被利用漏洞目录"，并要求联邦民事行政机构在两周内，也就是6月3日前完成Windows终端和服务器的加固。该机构警告称，这类漏洞是网络攻击中常见的利用入口，可能对政府信息系统构成显著风险。

二、漏洞技术原理

CVE-2026-41091漏洞的技术原理源于Microsoft Defender恶意软件防护引擎在处理云文件恢复过程中的设计缺陷。要深入理解这一漏洞，我们需要从Microsoft Defender的云文件恢复机制入手，分析其工作流程中的安全缺陷。

Microsoft Defender作为Windows系统内置的安全防护组件，负责实时监控、检测和清除恶意软件。其中，云文件恢复机制是Defender的一个重要功能，当检测到带有云文件属性的恶意文件时，Defender会尝试将其恢复到原始位置，以便进行进一步分析或隔离。这一机制的设计初衷是增强对云同步文件的安全管理，然而在实现过程中存在严重的安全缺陷。

漏洞的核心问题在于，Microsoft Defender在执行云文件恢复操作时，没有正确验证目标路径是否存在重解析点(如符号链接、目录联接等)。具体来说，当Defender检测到带有云文件属性的恶意文件时，会启动恢复流程，但在恢复过程中，Defender仅对目标路径进行初始验证，而没有在执行写入操作前再次验证路径的有效性。这种设计缺陷为攻击者创造了可利用的攻击窗口。

从技术实现角度看，CVE-2026-41091漏洞属于典型的"检查时间-使用时间"(TOCTOU)竞争条件漏洞。在Defender的恢复流程中，存在以下关键步骤：

1. 检测带有云文件属性的恶意文件
2. 验证目标路径的有效性
3. 执行文件恢复操作

问题出现在步骤2和步骤3之间。攻击者可以利用机会锁(OPLOCK)机制，在Defender完成路径验证后、实际执行恢复操作前的极短时间窗口内，将目标路径替换为指向系统敏感目录的符号链接或目录联接。当Defender执行恢复操作时，会以SYSTEM权限将文件写入攻击者指定的系统敏感目录，从而实现权限提升。

从代码层面分析，漏洞的核心缺陷位于MpSvc.dll中的云文件恢复代码片段。以下是一个简化的技术分析：

// 伪代码示例，展示漏洞原理BOOL RestoreCloudFile(LPCWSTR sourcePath, LPCWSTR targetPath) { // 第一步：验证目标路径 if (!IsValidPath(targetPath)) { return FALSE; } // 第二步：检查时间与使用时间之间的竞争窗口 // 攻击者可以在此期间替换targetPath为符号链接 // 第三步：以SYSTEM权限执行恢复操作 if (!CopyFileWithSystemPrivileges(sourcePath, targetPath)) { return FALSE; } return TRUE;}

在这个简化的示例中，IsValidPath函数验证目标路径的安全性，但在验证完成后、实际执行复制操作前，存在一个时间窗口。攻击者可以利用OPLOCK机制暂停Defender的操作，在此期间将目标路径替换为指向系统敏感目录(如System32)的符号链接。当Defender恢复操作继续执行时，会以SYSTEM权限将文件写入攻击者指定的位置，从而实现权限提升。

攻击者利用这一漏洞的技术过程可以分解为以下关键步骤：

1. 创建带有云文件属性的恶意文件，触发Defender检测
2. 使用OPLOCK机制暂停Defender的恢复操作
3. 在Defender暂停期间，将目标目录替换为指向系统敏感目录(如System32)的符号链接或目录联接
4. 释放OPLOCK，恢复Defender操作
5. Defender以SYSTEM权限将恶意文件写入系统敏感目录
6. 通过特定机制(如COM服务激活)执行写入的恶意文件，获取SYSTEM权限

值得注意的是，CVE-2026-41091漏洞通常与另一个漏洞CVE-2026-45498(UnDefend)结合使用，形成一个完整的攻击链。UnDefend漏洞允许本地普通用户通过构造特定的注册表项，永久阻止Microsoft Defender的病毒库定义更新，使终端处于不设防状态。这两个漏洞与BlueHammer漏洞(CVE-2026-33825)一起，构成了一个完整的攻击链：UnDefend削弱防护→RedSun提权→BlueHammer持久化。

从漏洞的根本原因分析，CVE-2026-41091反映了Microsoft Defender在安全设计上的几个关键问题：

1. 不充分的路径验证：Defender在执行文件操作前，没有对目标路径进行充分的安全验证，特别是没有检测和阻止重解析点的使用。
2. TOCTOU竞争条件：在路径验证和实际文件操作之间存在时间窗口，没有原子性保证，为攻击者创造了可利用的竞争条件。
3. 权限隔离不足：Defender以SYSTEM权限执行文件操作，但没有相应的安全机制来限制这些操作的范围，导致一旦被利用，攻击者可以直接获取系统最高权限。
4. OPLOCK机制的安全隐患：虽然OPLOCK是Windows文件系统中用于文件共享控制的合法机制，但Defender在使用这一机制时没有充分考虑其可能带来的安全风险。

从漏洞的影响来看，CVE-2026-41091允许攻击者从普通用户权限提升到SYSTEM权限，完全控制系统。这种权限提升对于攻击者来说极具价值，因为它可以绕过许多基于用户权限的安全控制，为后续的恶意操作(如安装后门、窃取敏感数据、横向移动等)提供基础。

三、攻击方式与利用条件

CVE-2026-41091漏洞的攻击方式具有高度的技术针对性，攻击者需要满足特定条件并按照精确的步骤执行才能成功利用。本节将详细分析攻击者如何利用这一漏洞实现权限提升，以及成功利用所需的各种条件。

攻击前提条件

攻击者要成功利用CVE-2026-41091漏洞，必须满足以下基本条件：

1. 本地访问权限：攻击者需要拥有目标系统的普通用户权限，这是发起攻击的基础。由于CVE-2026-41091是本地权限提升漏洞，攻击者必须能够本地登录或通过其他方式获取本地用户权限。
2. 受影响的系统版本：目标系统必须运行受影响的Microsoft Defender版本，即Microsoft恶意软件防护引擎1.1.26030.3008及更早版本。具体受影响的操作系统包括：
   • Windows 10 21H2及以上版本
   • Windows 11 22H2及以上版本
   • Windows Server 2019及以上版本
3. Microsoft Defender启用状态：目标系统上的Microsoft Defender必须处于启用状态，因为攻击利用的是Defender的云文件恢复机制。如果Defender被禁用或替换为其他安全解决方案，攻击将无法成功。
4. 云文件属性支持：目标系统必须支持云文件属性，因为攻击触发依赖于Defender对带有云文件属性的恶意文件的检测和处理。

攻击流程详解

攻击者利用CVE-2026-41091漏洞的完整攻击流程可以分为以下几个关键阶段：

阶段一：初始访问与准备

在攻击的初始阶段，攻击者需要获取目标系统的普通用户权限，并准备攻击所需的环境和工具。这一阶段通常包括以下步骤：

1. 获取初始访问权限