PoC BigDiskBuster có thể chặn cập nhật Microsoft Defender
"A zero-day proof-of-concept called BigDiskBuster was published on GitHub and can block Microsoft Defender platform and signature updates by consuming all available disk space during the update process. The issue has no CVE or patch yet; it may leave Defender running with stale detection content, and the article notes a related prior flaw, UnDefend, was patched by Microsoft as CVE-2026-45498."
Có thể làm Defender cập nhật thất bại và khiến hệ thống dùng chữ ký/phần mềm phát hiện lỗi thời; hiện chưa có CVE hoặc bản vá.
Có thể làm giảm khả năng phát hiện mã độc trên máy trạm, tăng rủi ro gián đoạn vận hành và phát sinh chi phí xử lý sự cố.
Một proof-of-concept zero-day có tên BigDiskBuster vừa được công bố trên GitHub và có thể làm thất bại quá trình cập nhật Microsoft Defender bằng cách chiếm hết dung lượng đĩa trong lúc cập nhật. Theo mô tả, công cụ này nhắm vào cả platform update và signature update, khiến Defender vẫn chạy nhưng có nguy cơ dùng nội dung phát hiện lỗi thời.
Hiện chưa có CVE, chưa có bản vá và cũng chưa có khuyến cáo chính thức từ Microsoft cho vấn đề này. Tác giả cho biết công cụ theo dõi các thư mục cập nhật của Defender trên ổ C:\; khi quá trình tải bản cập nhật bắt đầu, nó tạo một tệp tạm ẩn để lấp đầy toàn bộ dung lượng trống, khiến cập nhật thất bại. Bài viết cũng nêu rằng công cụ có thể ảnh hưởng đến MRT.exe và quá trình thay thế qua Windows Update.
Đây là một kỹ thuật đáng chú ý vì có thể làm giảm hiệu quả bảo vệ đầu cuối mà không làm Defender dừng hẳn. Quản trị viên nên kiểm tra trạng thái cập nhật trong Windows Security, theo dõi các lần cập nhật Defender thất bại, dung lượng đĩa thấp bất thường và các tệp ẩn lớn trong thư mục tạm. Đồng thời, nên hạn chế chạy tệp không rõ nguồn gốc bằng WDAC hoặc AppLocker.