Microsoft güvenlik ekibi ile bağımsız araştırmacılar arasındaki gerilim sürerken, Windows kullanıcılarını doğrudan etkileyen yeni ve kritik bir güvenlik açığı daha gündeme geldi. “RedSun” adı verilen bu zero-day (sıfır gün) zafiyeti, Windows Defender üzerinden sistemlerin tamamen ele geçirilmesine olanak tanıyor.
Defender Üzerinden SYSTEM Yetkisi
Güvenlik araştırmacısı Chaotic Eclipse tarafından paylaşılan bilgilere göre RedSun açığı, Windows Defender’ın davranışını manipüle ederek herhangi bir uygulamaya SYSTEM seviyesinde yetki kazandırabiliyor.
Daha da kritik olan nokta ise şu:
- Güncel Windows 11 sistemlerde
- Tüm güvenlik yamaları yüklüyken
- Gerçek zamanlı koruma aktifken
bile bu açık istismar edilebiliyor.
Açığın Teknik Detayı
RedSun zafiyeti, Defender’ın şüpheli dosyaları analiz ederken uyguladığı “onarım” sürecini hedef alıyor.
Normalde süreç şu şekilde çalışıyor:
- Defender şüpheli bir dosya tespit eder
- Dosyayı güvenli hale getirmek için yeniden kopyalar
Ancak saldırganlar bu süreci manipüle edebiliyor.
Kullanılan teknikler:
- Race condition (yarış durumu)
- OPLOCK mekanizması
- Junction (klasör yönlendirme)
Bu kombinasyon sayesinde:
Defender dosyayı geçici klasöre yazdığını sanıyor
Ancak dosya aslında C:\Windows\System32 dizinine yazılıyor
Bu da zararlı kodun doğrudan sistem klasörüne düşmesi ve tam yetki ile çalıştırılması anlamına geliyor.
Olası Saldırı Senaryoları
RedSun açığı kullanılarak gerçekleştirilebilecek saldırılar oldukça kritik:
- Tüm sistemin ransomware ile şifrelenmesi
- Tarayıcı kayıtlı parolalarının çalınması
- Session ve token bilgilerine erişim
- Discord ve benzeri uygulama token’larının ele geçirilmesi
Kısacası bu açık, klasik bir zafiyetten öte tam sistem kompromizasyonu riski taşıyor.
UnDefend: Defender’ı Susturan Araç
RedSun ile birlikte dikkat çeken bir diğer gelişme ise UnDefend adlı aracın yayınlanması oldu.
Bu araç:
- Yönetici yetkisi gerektirmeden çalışabiliyor
- Windows Defender güncellemelerini engelleyebiliyor
Çalışma Modları
Passive Mode:
- Defender imza güncellemelerini durdurur
- Yeni tehditlerin tespit edilmesini engeller
Aggressive Mode:
- Defender’ı tamamen devre dışı bırakmayı hedefler
- Özellikle büyük platform güncellemeleri sırasında etkili olur
14 Günde 3 Kritik Açık
Son iki haftada Windows Defender için yayımlanan açıklar:
- BlueHammer (CVE-2026-33825)
- RedSun (0-day)
- UnDefend (DoS / bypass aracı)
Bu durum, Defender tarafında ciddi bir güvenlik tartışmasını beraberinde getiriyor.
