Microsoft Defender 再次站上資安輿論的風口浪尖。
在微軟於 Patch Tuesday 修補 CVE-2026-33825（BlueHammer） 之後不久，研究員 Chaotic Eclipse 又公開了第二個零時差漏洞 RedSun。這一連串事件不僅讓 Windows Defender 的提權風險浮上檯面，也同時引爆了另一個更敏感的議題：漏洞回報流程與研究者信任之間的裂縫。
從資安的角度來看，這已不再只是技術漏洞事件，而是一場「漏洞披露治理」與「供應商回應機制」的現實壓力測試。
BlueHammer（CVE-2026-33825）：Defender 提權漏洞的起點
事件最初源自研究員 Chaotic Eclipse 公布的概念驗證漏洞 BlueHammer。
該漏洞後續被多方資安專家與廠商確認，問題核心與 Microsoft Defender 的更新與檔案處理機制相關。當攻擊者成功利用時，可將一般使用者權限提升至 SYSTEM 等級，取得系統最高控制權。
微軟最終將此漏洞納入 CVE-2026-33825，並於本月 Patch Tuesday 正式修補。
從技術層面來看，這類漏洞的本質並不複雜，但其危險性在於：
- 利用條件低（低權限即可）
- 不需要使用者互動
- 可直接進入後滲透階段（Post-Exploitation）
- SYSTEM 權限意味完整主機控制
也因此，BlueHammer 被視為典型的端點提權風險。
RedSun 登場：第二個 Defender 零時差漏洞
就在 BlueHammer 修補後短時間內，Chaotic Eclipse 再度公開另一個 Defender 相關漏洞，並命名為 RedSun。
根據研究內容，RedSun 利用的是 Windows Cloud Files API 與 Defender 檔案處理邏輯之間的互動問題。攻擊者可透過特定帶有標籤屬性的檔案觸發流程，進一步竄改系統檔案並取得 SYSTEM 權限。
資安研究社群指出，該漏洞可能影響包含 Windows 10、Windows 11 與 Windows Server 2019 等系統，只要系統中存在 cldapi.dll，且 Microsoft Defender 啟用，即可能暴露於風險之中。
技術細節：從 Cloud Files API 到 SYSTEM 權限的路徑
根據公開分析（包含資安專家 Will Dormann 的觀察），RedSun 的利用鏈涉及多個 Windows 元件之間的競態條件（race condition）與檔案重導機制：
攻擊流程大致如下：
- 利用 Cloud Files API 寫入具特定標籤的檔案（例如 EICAR 測試字串）
- 透過 opportunistic locking（oplock）與系統服務產生競態條件
- 利用 junction / reparse point 進行檔案路徑重導
- 覆寫系統關鍵檔案（例如 C:\Windows\System32\TieringEngineService.exe）
- 觸發 Defender / Cloud Infrastructure 以 SYSTEM 權限執行該檔案
最終結果是：攻擊者植入的程式以 SYSTEM 身分執行
這類攻擊的關鍵不在於單一漏洞，而在於 Windows 檔案系統、雲端同步機制與安全防護之間的交互設計。
爭議核心：研究者與微軟之間的信任裂縫
與技術漏洞同樣受到關注的，是 Chaotic Eclipse 公開 RedSun 的動機。
根據其部落格與 GitHub 說明，他對 Microsoft 處理 BlueHammer（CVE-2026-33825）的方式感到不滿，認為官方回應過於制式，並未正面回應研究者的核心訴求。
他指出：
- BlueHammer 在被媒體報導後才獲得重視
- 微軟雖然立案，但後續處理趨向駁回
- MSRC 溝通過程缺乏實質回饋
在情緒性聲明中，他甚至表示：
Microsoft 已經清楚知道漏洞存在，但選擇以制式回應處理研究者。
他同時暗示，未來可能釋出更具破壞性的遠端執行（RCE）漏洞。
雖然這些說法仍屬單方觀點，但已在資安社群引發廣泛討論。
微軟回應：標準化，但資訊有限
針對 RedSun 事件，微軟透過公開管道表示，公司遵循既定流程處理所有回報的安全問題，並會透過更新機制保護用戶。
然而，目前對於 RedSun 是否已內部確認、或是否納入修補排程，外界仍無法得知。
這種「標準但有限資訊」的回應方式，在過往漏洞事件中並不罕見，但在高關注度事件中，往往會加劇社群的不確定性。
資安社群的分歧：技術確認 vs 披露方式
值得注意的是，部分資安專家已在社群平台指出：
- RedSun 在特定條件下確實可被重現
- SYSTEM 提權在技術上成立
- 漏洞與 Cloud Files API 行為密切相關
但同時，也有觀點認為：
- 公開 PoC 可能加速攻擊武器化
- 情緒化披露增加企業防禦壓力
- 缺乏完整協調披露（Coordinated Disclosure）
這使得 RedSun 不僅是技術問題，也變成「漏洞治理模式」的爭議案例。
從 BlueHammer 到 RedSun：正在改變的攻擊現實
如果將這一系列事件放在更大的攻擊模型中觀察，可以看到一個清晰趨勢：
- 初始入侵仍然依賴傳統手法（釣魚、惡意程式）
- 提權漏洞（如 Defender 類漏洞）成為標準模組
- PoC 公開使攻擊門檻進一步下降
- 攻擊鏈完成時間顯著縮短
換句話說，企業面對的已不只是「漏洞數量」，而是漏洞從披露到武器化的速度正在縮短。
結語：漏洞之外，更關鍵的是信任機制
Microsoft Defender 這一連串事件，表面上是技術漏洞，實際上反映的是三個更深層問題：
- 安全產品本身已成為攻擊面的一部分
- 漏洞披露流程正在承受信任壓力
- 攻擊者與防禦者之間的時間差正在消失
當 RedSun 與 BlueHammer 連續出現時，真正值得關注的已不只是 CVE 編號，而是整個資安生態系如何處理「發現 → 回應 → 修補 → 武器化」這段極短但關鍵的時間窗口。
在這個節奏持續加快的環境裡，企業真正需要回答的問題是：
當漏洞被公開的那一刻，你的防禦體系，是已經準備好，還是剛開始反應？