Microsoft, sahte sıfır gün araştırmacısı Nightmare Eclipse konusunda politikasını geri çekmek zorunda kaldı

Microsoft, " takma adıyla faaliyet gösteren bağımsız güvenlik araştırmacısına karşı agresif yasal tutumundan resmi olarak geri adım attıKabus Tutulması." Küresel siber güvenlik topluluğundan gelen ciddi sektör tepkisinin ardından teknoloji devi, koordine edilmemiş hata açıklamalarını kötü niyetli davranışlarla eş tutan son kurumsal söylemini sessizce temizledi. Bu ani değişim, Redmond'un modern yazılım savunma ekosistemlerinin belkemiğini oluşturan dış tehdit analistleri ve güvenlik uzmanlarıyla hızla bozulan ilişkileri düzeltmek için harcadığı büyük bir hasar kontrol çabasını temsil ediyor.

Nightmare Eclipse sıfırıncı gün kampanyasının içinde

Anlaşmazlık ilk olarak Nightmare Eclipse'in ardından alevlendi geleneksel kurumsal raporlama kanallarını atlayarak birkaç yüksek ciddiyetli Windows açığı için işlevsel kavram kanıtı kodu yayınladı. Kampanya başarılı bir şekilde silahlandırılmış sıfırıncı gün güvenlik açıkları blueHammer (CVE-2026-33825) ve Microsoft Defender'ı kör etmek için tasarlanan RedSun aracı gibi yerel ayrıcalık yükseltme zincirlerini dağıtarak temel savunma sistemlerinde. Microsoft'un Dijital Suçlar Birimi'nin agresif yasal tehditlerini ve kod barındırma platformlarında kapsamlı hesap yasaklarını içeren ilk misillemesi GitHub ve GitLab-kurumsal güvenlik liderleri tarafından yaygın bir şekilde kınandı ve ağır kurumsal zorbalığın savunma araştırmalarını engelleyeceği ve aktif ağları kötü niyetli aktörlere açık bırakacağı konusunda uyarıda bulundular.

Koordineli Güvenlik Açığı İfşasına geri dönüş

Microsoft son politika güncellemesinde, meşru güvenlik açığı tanımlaması yapan bireylere karşı yasal işlem başlatma niyetinde olmadığını açıkça belirtti. Yazılım devinin tartışmalı "sorumlu ifşa" terimini resmi mesajlaşma kanallarından tamamen çıkarması dikkat çekti. Şirket bunun yerine klasik "Koordineli Güvenlik Açığı İfşası" çerçevesine geri dönerek, son zamanlarda yaptığı bazı otomatik platform engellemelerinin profesyonel topluluk standartlarının gerisinde kaldığını kabul etti ve ileriye dönük raporlama için iyi niyetli bir katılım stratejisi sözü verdi.

Çözülmemiş vektörler ve yaklaşan Haziran yaması tehditleri

Microsoft'un yapısal politika geri adımına rağmen, altta yatan mimari tehdit vektörü çözülmeden kalmaya devam ediyor. Nightmare Eclipse, kurumsal zeytin dalını görmezden geldi ve birden fazla bağımsız istismar geliştiricisinin artık kurumsal raporlama hatlarından tamamen kaçınmak için yamalanmamış güvenlik hatalarını doğrudan kendilerine yönlendirdiğini doğruladı. Takma isimli geliştirici, yakın zamanda çıkacak bir Haziran istismar yükü mirası hedefleme Güvenli Önyükleme yaşam döngüsü güvenlik açıklarıyaklaşan kod düşüşünün operasyonel sanal makinelerdeki BitLocker donanım şifrelemesini, tahmin edilen yaz ortası intikam son tarihinden önce tamamen atlayacağını iddia ediyor.