A Microsoft kénytelen volt visszavonulni a politikában a gazember nulladik napi kutató Nightmare Eclipse miatt

A Microsoft hivatalosan is visszavonta agresszív jogi álláspontját a független biztonsági kutatóval szemben, aki a "Nightmare Eclipse." A globális kiberbiztonsági közösség súlyos iparági visszahatását követően a technológiai óriás csendben törölte a közelmúltbeli vállalati retorikáját, amely a koordinálatlan hibajelentéseket rosszindulatú viselkedéssel tette egyenlővé. A hirtelen váltás a redmondiak jelentős kárelhárítási erőfeszítését jelenti, hogy helyrehozzák a gyorsan romló kapcsolatokat a külső fenyegetéselemzőkkel és biztonsági szakemberekkel, akik a modern szoftvervédelmi ökoszisztémák gerincét alkotják.

A Nightmare Eclipse nulladik napi kampány belseje

A vita eredetileg a Nightmare Eclipse után gyulladt ki a hagyományos vállalati jelentési csatornákat megkerülve több nagy súlyú Windows-hiba funkcionális proof-of-concept kódját tette közzé. A kampány sikeresen a nulladik napi sebezhetőségek fegyverként való felhasználása az alapvető védelmi rendszerekben, olyan helyi jogosultságnövelő láncokat telepítve, mint a BlueHammer (CVE-2026-33825) és a Microsoft Defender megvakítására tervezett RedSun eszköz. A Microsoft kezdeti megtorlása - amely magában foglalta a digitális bűncselekményekkel foglalkozó részlegének agresszív jogi fenyegetéseit és a kódszállítást végző platformok, mint például a GitHub és GitLab- széles körű elítélést váltott ki a vállalati biztonsági vezetők részéről, akik arra figyelmeztettek, hogy a keménykezű vállalati erőszak megfojtja a védelmi célú kutatást, és az aktív hálózatokat kiszolgáltatottá teszi a rosszindulatú szereplőknek.

Visszatérés a koordinált sebezhetőségi nyilvánosságra hozatalhoz

Legutóbbi irányelvfrissítésében a Microsoft kifejezetten tisztázta, hogy nem áll szándékában jogi lépéseket tenni a jogos sebezhetőség-azonosítással foglalkozó személyek ellen. Figyelemre méltó, hogy a szoftveróriás teljesen elhagyta hivatalos üzenetküldő csatornáiról a vitatott "felelős nyilvánosságra hozatal" kifejezést. A vállalat ehelyett visszatért a klasszikus "koordinált sebezhetőségi nyilvánosságra hozatal" keretrendszeréhez, elismerve, hogy a közelmúltban automatizált platformjainak néhány feltörése nem felelt meg a szakmai közösségi normáknak, és jóhiszemű elkötelezettségi stratégiát ígért a jövőbeni bejelentésekhez.

Megoldatlan vektorok és fenyegető júniusi javítási fenyegetések

A Microsoft strukturális politikájának visszavonulása ellenére a mögöttes építészeti fenyegetésvektor továbbra is megoldatlan. A Nightmare Eclipse figyelmen kívül hagyta a vállalati olajágat, és megerősítette, hogy több független exploit-fejlesztő most közvetlenül hozzájuk irányítja a javítatlan biztonsági hibákat, hogy teljesen elkerülje a vállalati jelentési csatornákat. Az álnéven ismert fejlesztő máris egy közelgő Júniusi exploit hasznos terhelését ami a régi Secure Boot életciklus sebezhetőségeket, azt állítva, hogy a közelgő kóddömping teljesen megkerüli a BitLocker hardveres titkosítást az üzemelő virtuális gépeken a nyár közepére tervezett megtorlási határidő előtt.