Peringatan tentang exploit yang masih beredar membuat administrator sistem kembali waspada. Tiga celah Windows yang belum ditambal, yaitu YellowKey, GreenPlasma, dan MiniPlasma, kini diperlakukan sebagai risiko aktif karena kode pemanfaatannya sudah sempat dipersenjatai dan sebagian telah digunakan dalam serangan langsung.
Situasi ini menjadi lebih sensitif karena satu rilis exploit pada 14 Juli masih dipandang berpotensi memicu eskalasi ke kerentanan remote code execution. Microsoft juga sudah menilai langkah mitigasi untuk YellowKey cukup serius, termasuk pengeditan manual pada offline WinRE registry hive dan penghapusan autofstx.exe dari nilai BootExecute.
Di sisi lain, Defender Engine versi 1.1.26040.8 atau yang lebih baru disebut sudah menangani RedSun dan UnDefend. Karena itu, pembaruan keamanan untuk bagian ini disarankan tidak menunggu jadwal maintenance berikutnya.
Masalah yang memicu polemik ini berawal dari langkah seorang peneliti keamanan yang dikenal sebagai Nightmare Eclipse. Ia merilis proof-of-concept yang sudah dipersenjatai untuk enam kerentanan Windows antara awal April hingga pertengahan Mei 2026 tanpa koordinasi dengan Microsoft.
Dari enam celah tersebut, tiga sudah dieksploitasi dalam serangan langsung. Tiga lainnya masih belum ditambal saat sorotan publik terhadap cara Microsoft merespons makin melebar.
Microsoft menanggapi melalui blog resminya pada 28 Mei. Perusahaan menyebut pengungkapan seperti itu “never justifiable” dan memperingatkan bahwa Digital Crimes Unit akan mengejar siapa pun yang membantu aktivitas kriminal lewat kode eksploit.
Perusahaan juga menuduh Nightmare Eclipse mengabaikan standar coordinated vulnerability disclosure. Tuduhan itu langsung dibantah oleh sang peneliti, yang mengklaim Microsoft justru menghapus akun Security Response Center yang dipakai untuk melaporkan bug pada awalnya.
Menurut Nightmare Eclipse, jalur komunikasi lanjutan juga ditutup. Ia bahkan menulis, “You literally deleted the Microsoft account I used to report bugs to you with, and I got zero pennies from doing so.”
Respons keras Microsoft tidak diterima baik oleh komunitas keamanan. Katie Moussouris, sosok yang memelopori program bug bounty di Microsoft dan membantu merumuskan framework coordinated disclosure yang kini dipakai perusahaan, mengkritik pernyataan itu di Bluesky.
Moussouris menilai penggunaan istilah “responsible disclosure” sejak awal sudah bermasalah. Ia juga berpendapat ancaman penuntutan dari Digital Crimes Unit hanya akan memperburuk keadaan dan membuat peneliti makin jauh dari kepercayaan terhadap Microsoft.
Nada serupa datang dari Kevin Beaumont, mantan engineer keamanan Microsoft. Ia menyebut situasi ini sebagai “a dumpster fire of their own making” dan mengingatkan bahwa Microsoft pernah mempekerjakan SandboxEscaper setelah peneliti itu mempublikasikan exploit code zero-day tanpa peringatan.
Sejak eskalasi ini, Nightmare Eclipse juga sudah diblokir dari GitHub sekitar 23 Mei dan dari GitLab pada 26-27 Mei. Saat ini ia mempublikasikan temuan dan kodenya lewat blog pribadi, sementara perhatian industri keamanan tetap tertuju pada dampak lanjutan dari exploit yang telah beredar.
Kontroversi ini menempatkan Microsoft pada posisi yang rumit. Perusahaan ingin menindak penyebaran exploit code, tetapi respons kerasnya justru memperlebar jarak dengan peneliti dan praktisi keamanan yang selama ini menjadi bagian penting dalam ekosistem pelaporan celah.
