大家好，我是陆砚码。最近微软Defender的两个双零日漏洞CVE-2026-41091和CVE-2026-45498引起了广泛关注。这两个漏洞不仅影响全球10亿+的Windows设备，还直接威胁到我们的系统安全。今天，我们就来深入解析这两个漏洞，并探讨如何应对这场危机。
一、事件背景与时间线
2026年4月，安全研究员Chaotic Eclipse公开了三个Microsoft Defender零日漏洞的PoC代码，引发了全球网络安全界的震动。这三个漏洞分别是BlueHammer、RedSun和UnDefend，构成了一个完整的攻击链。
二、漏洞技术深度解析
CVE-2026-41091（RedSun）是一个本地权限提升漏洞，存在于Microsoft Defender的云文件恢复机制中。CVE-2026-45498（UnDefend）是一个拒绝服务漏洞，允许本地普通用户永久阻止Microsoft Defender的病毒库定义更新。
三、完整攻击链解析
攻击者通常会利用UnDefend漏洞阻止Defender更新，然后利用RedSun漏洞创建恶意云文件，触发Defender检测。接着，攻击者设置机会锁，替换目录，最终以SYSTEM权限运行恶意程序，完全控制系统。
四、在野利用情况与威胁分析
自PoC代码公开以来，多个安全厂商已观察到大规模在野利用活动。多个威胁组织已将这两个漏洞整合到其攻击工具包中，用于横向移动和权限提升。
五、CISA KEV收录与官方响应
CISA已将这两个漏洞加入KEV目录，并要求联邦机构在6月3日前完成修复。微软也发布了安全更新，修复了这两个漏洞。
六、检测方法与工具
我们可以通过版本检测和攻击行为检测来检测这两个漏洞。微软也提供了PowerShell脚本用于检查Defender版本。
七、应急缓解措施
最有效的缓解措施是立即安装微软发布的安全更新。如果无法立即安装补丁，可以采取临时缓解措施，如限制普通用户对Defender目录的写权限、禁用Storage Tiers Management服务、启用受控文件夹访问等。
八、前瞻性分析与未来趋势
此次事件再次暴露了安全工具自身安全的重要性。逻辑漏洞将成为攻击者越来越青睐的攻击目标。攻击链整合趋势明显，安全防御需要从单点防护向纵深防御转变。
网络安全是一场持续的战斗。只有保持警惕，及时更新防护措施，才能在不断变化的威胁环境中保护好我们的系统和数据。
以上就是我对微软Defender双零日漏洞的解析和应对策略。希望对大家有所帮助。更多技术分享，请关注「思享编程网」（www.sxgpb.com）。