BlueHammer CVE-2026-33825: gdy Microsoft Defender pomaga zdobyć SYSTEM

BlueHammer, śledzony jako CVE-2026-33825, to lokalna eskalacja uprawnień w Microsoft Defenderze. Microsoft opublikował poprawkę w kwietniowym Patch Tuesday 14 kwietnia 2026 roku. Luka ma CVSS 7,8 i wynika z niewystarczającej granularności kontroli dostępu: proces działający bez uprawnień administratora może nadużyć zaufanego mechanizmu ochrony i przejść do kontekstu SYSTEM.

Publiczny proof of concept pojawił się przed pełną koordynacją. CISA później dodała podatność do KEV na podstawie dowodów wykorzystania. Nie publikujemy tu kodu eskalującego ani instrukcji modyfikacji chronionych zasobów. Dla zespołu obrony istotniejsze są: działająca wersja platformy Defender, ślad procesu prowadzącego do SYSTEM oraz ocena, kto miał lokalny kod na hoście przed aktualizacją.

Lokalne nie znaczy mało ważne

BlueHammer nie daje wejścia z internetu. Napastnik musi już uruchamiać kod jako użytkownik, na przykład przez phishing, złośliwy instalator, przeglądarkę, exploit aplikacji albo przejętą sesję. To typowa luka drugiego etapu. Jej wartość rośnie, bo Defender działa na prawie każdym zarządzanym Windowsie i ma uprzywilejowany dostęp do plików oraz mechanizmów ochronnych.

Po uzyskaniu SYSTEM atakujący może próbować wyłączyć ochronę, wykraść poświadczenia, zainstalować usługę, manipulować EDR i przechodzić dalej. Dlatego ocena ryzyka nie powinna kończyć się na AV:L. W środowisku z częstym initial access lokalna eskalacja jest przewidywalnym następnym krokiem.

Co wiadomo o mechanizmie

Oficjalny opis Microsoftu klasyfikuje problem jako niewystarczającą granularność kontroli dostępu w Microsoft Defender. Publiczne analizy PoC wskazywały na złożenie operacji plikowych, synchronizacji i zachowania chronionego procesu, które pozwalało wpłynąć na zasób niedostępny dla zwykłego użytkownika. Szczegóły implementacyjne zależą od wersji i zostały zmienione poprawką.

W raporcie należy oddzielić trzy poziomy:

1. potwierdzone przez vendor: lokalna eskalacja do wyższych uprawnień i poprawka;
2. potwierdzone przez CISA: użycie w realnych atakach;
3. wnioski z publicznego PoC: konkretna technika reprodukcji, która może nie działać identycznie na każdym buildzie.

To zapobiega kopiowaniu sensacyjnych twierdzeń, na przykład że sam Defender „zdalnie kradnie wszystkie hasła”. Produkt jest elementem prymitywu LPE, ale atak wymaga wcześniejszej obecności lokalnej.

Jak sprawdzić aktualizację Defendera

Defender składa się z platformy, silnika, sygnatur i komponentów dostarczanych różnymi kanałami. Status „definitions up to date” nie gwarantuje poprawionej platformy. Zbieraj co najmniej wersję platformy antimalware, silnika, sygnatur, build systemu oraz czas ostatniej aktualizacji. W Microsoft Defender for Endpoint wykorzystaj centralny inventory i advanced hunting; na stacji można użyć wspieranych informacji z Windows Security lub poleceń administracyjnych organizacji.

Nie opieraj się wyłącznie na numerze KB systemu. Microsoft może aktualizować komponent ochrony poza pełnym cumulative update. Źródłem prawdy jest bieżąca tabela MSRC i release health dla produktu.

Hunting po publikacji PoC

Szukaj procesu użytkownika, po którym pojawia się nietypowy proces SYSTEM bez legalnej ścieżki instalatora, UAC albo usługi zarządzającej. Koreluj operacje na chronionych katalogach Defendera, krótkotrwałe pliki i reparse points, nietypowe blokady plików, zmiany ustawień ochrony, wykluczeń, usług, zadań i sterowników.

Ważne pytania:

• kto uruchomił pierwszy proces i skąd pochodził plik;
• czy Defender zgłosił manipulację albo nagłą zmianę stanu;
• czy po eskalacji użyto LSASS, SAM/SECURITY, tokenów lub narzędzi zdalnych;
• czy utworzono persistence albo nowe konto;
• czy podobny wzorzec wystąpił na innych hostach z tym samym źródłem.

Publiczny PoC zwiększa szum skanerów i testów administratorów. Nie zakładaj, że każde uruchomienie to zewnętrzny atak, ale wymagaj ticketu i autoryzacji dla walidacji bezpieczeństwa. Eksploit uruchomiony „dla testu” może być nieodróżnialny od ataku w telemetrii.

Remediacja i containment

Zaktualizuj platformę Defender oraz system według MSRC, wymuś synchronizację na urządzeniach offline i potwierdź wersję po zmianie. Szczególnie pilne są stacje uprzywilejowane, VDI, RDS, build runners i urządzenia, na których użytkownicy mogą instalować lub kompilować kod.

Do czasu pełnego coverage:

• ogranicz local code execution przez WDAC/AppLocker i ASR;
• odbierz zwykłym użytkownikom prawa instalacji i debugowania;
• blokuj niezarządzane urządzenia przed dostępem do zasobów wysokiej wartości;
• monitoruj tamper protection i niespodziewane wykluczenia;
• separuj konta administracyjne od codziennej pracy.

Jeżeli wiarygodna eskalacja do SYSTEM nastąpiła, izoluj host, zabezpiecz pamięć i logi, rotuj poświadczenia używane na urządzeniu oraz odbuduj z zaufanego obrazu. Aktualizacja usuwa lukę, ale nie cofa działań procesu SYSTEM.

BlueHammer warto włączyć do hardeningu Windows i Microsoft 365, modelu PAM oraz procesu podatności opartego na KEV. W sprawie testu coverage i detekcji LPE skontaktuj się z BreachRoad.

---

Źródła pierwotne: Microsoft MSRC — CVE-2026-33825, NVD CVE-2026-33825, CISA KEV.