ShieldBreak není jen osamocená chyba. Je to nejnovější kapitola stále vyhrocenějšího sporu mezi Microsoftem a komunitou bezpečnostních výzkumníků, která má pocit, že její hlášení chyb jsou ignorována, odmítána nebo potkávají právní hrozby namísto seriózních oprav .

Jak ShieldBreak funguje: napojení na nejprivilegovanější proces Defenderu

Zranitelnost se nachází v antimalwarové službě Microsoft Defender (MsMpEng), která běží pod účtem NT AUTHORITY\SYSTEM – tedy s nejvyšší úrovní přístupu v systému Windows . Technický mechanismus je následující:

• Hlavní příčina: ShieldBreak úplně obchází záplatu, kterou Microsoft vydal v červenci 2026 pro CVE-2026-50656, dřívější zranitelnost Defenderu známou jako „RoguePlanet“ a objevenou stejným výzkumníkem . Microsoft svou záplatou uzavřel jednu konkrétní cestu zneužití, ale neopravil základní architektonickou slabinu v privilegovaném procesu Defenderu .
• Mechanismus zneužití: ShieldBreak místo původního útoku RoguePlanet na souborový systém využívá napojení na callback v uživatelském režimu v procesu Defenderu. Manipuluje s obsahem souboru během tzv. cloud-hydration skenu přes Cloud Filter API (cfapi) – funkci, kterou Defender používá k načítání a skenování souborů z cloudu. Změnou souboru v přesně načasovaném okamžiku během tohoto skenu trik přiměje Defender vykonat libovolný kód s oprávněními SYSTEM .
• Nutnost akce uživatele: Nejedná se o chybu umožňující vzdálené spuštění kódu. Útočník již musí mít na cílovém počítači nízkoúrovňový přístup (např. přes malware, škodlivý skript nebo neprivilegovanou aplikaci). ShieldBreak pak tento přístup povýší na plná oprávnění SYSTEM .
• Uváděná úspěšnost: Výzkumník tvrdí, že exploit má 100% úspěšnost na Windows 11 25H2 a Windows Server 2025, a nezávisle jej potvrdili renomovaní experti Will Dormann a Kevin Beaumont .

Postižené verze Windows

ShieldBreak funguje na „plně opatchovaných“ systémech k srpnu 2026, žádná existující aktualizace Microsoftu jej neblokuje. Zasaženy jsou :

K úspěšnému zneužití musí být Microsoft Defender aktivně zapnutý .

Souvislost s RoguePlanet (CVE-2026-50656)

• RoguePlanet byla zranitelnost v Defenderu (CVSS 7,8 – Microsoft ji označil jako „Exploitation More Likely“), kterou Nightmare Eclipse zveřejnil jako zero-day 9. června 2026 . Microsoft na ni vydal záplatu v červencovém Patch Tuesday .
• ShieldBreak je funkční obcházení této záplaty. Nejedná se o zcela novou třídu chyb – exploit využívá stejnou základní slabinu v Microsoft Malware Protection Engine, kterou odhalil již RoguePlanet, ale jinou cestou . Bezpečnostní komunita se shoduje, že Microsoft opravil pouze povrchový projev, nikoli samotnou příčinu .

Zero-day status: stále bez záplaty

• ShieldBreak je neopatchovaná zero-day chyba. Microsoft v srpnovém Patch Tuesday 2026 nevydal žádnou opravu .
• Microsoft zranitelnost uznal a uvedl, že ji aktivně vyšetřuje, ale nezavázal se k termínu vydání záplaty . Microsoft navíc okamžitě nezpochybnil platnost obcházejícího exploitu .
• Několik bezpečnostních dodavatelů (Tanium, Security Arsenal) zveřejnilo třetistranná doporučení pro zmírnění rizika – například zpřísnění konfigurace Defenderu nebo omezení neprivilegovaných účtů. Jde však o dočasná opatření, nikoli o záplaty .

Širší kontext: výzkumník vs. Microsoft

Dlouholetý spor

Nightmare Eclipse má dobře zdokumentovanou historii konfliktů s Microsoftem ohledně hlášení chyb a zásad jejich zveřejňování. Výzkumník tvrdí, že Microsoft jeho hlášení opakovaně ignoroval, odmítal nebo zdržoval . ShieldBreak je již devátá veřejně zveřejněná zero-day chyba Windows od tohoto výzkumníka, což z něj dělá jednoho z nejplodnějších nezávislých lovců chyb Windows .

Právní vyhrožování

Koncem července 2026 zaslalo právní oddělení Microsoftu výhružný dopis výzkumníkovi Nightmare Eclipse, ve kterém varovalo před právními kroky, pokud bude i nadále zveřejňovat zranitelnosti mimo oficiální program Microsoftu pro koordinované zveřejňování chyb . Výzkumník přesto ShieldBreak zveřejnil – a načasoval ho záměrně na hodiny po srpnovém Patch Tuesday, aby maximalizoval dopad .

Kritika Microsoftu ze strany bezpečnostní komunity

Širší bezpečnostní komunita ostře kritizuje právní postoj Microsoftu. Mezi hlavní body patří :

• Nezávislé potvrzení: Výzkumníci Will Dormann a Kevin Beaumont potvrdili, že ShieldBreak funguje, čímž prokázali, že záplata Microsoftu je nedostatečná .
• Kritika právních hrozeb: Vyhrožování nezávislým výzkumníkům soudními spory místo řádného opravování chyb je považováno za kontraproduktivní a poškozující důvěru .
• Jednostranné zásady zveřejňování: Zásady Microsoftu jsou některými vnímány jako jednostranné – výzkumníci, kteří se odchýlí od preferovaného časového plánu nebo formátu, čelí právnímu nátlaku, i když jejich hlášení jsou přesná .
• „Střílení posla“ : Několik médií označilo přístup Microsoftu za obviňování posla namísto řešení systémových chyb v privilegované architektuře Defenderu .

Hlavní závěr

ShieldBreak je víc než jen jedna zranitelnost. Je to nejnovější ohnisko eskalujícího konfliktu mezi strategií Microsoftu „záplata a právník“ a bezpečnostní komunitou výzkumníků, která stále častěji vidí veřejné zveřejnění jako jediný způsob, jak přinutit Microsoft k seriózním opravám. K 14. srpnu 2026 neexistuje žádná záplata a právní postoj Microsoftu vůči výzkumníkovi sklidil ostrou kritiku napříč celým oborem .

ShieldBreak není jen osamocená chyba. Je to nejnovější kapitola stále vyhrocenějšího sporu mezi Microsoftem a komunitou bezpečnostních výzkumníků, která má pocit, že její hlášení chyb jsou ignorována, odmítána nebo potkávají právní hrozby namísto seriózních oprav .

Jak ShieldBreak funguje: napojení na nejprivilegovanější proces Defenderu

Zranitelnost se nachází v antimalwarové službě Microsoft Defender (MsMpEng), která běží pod účtem NT AUTHORITY\SYSTEM – tedy s nejvyšší úrovní přístupu v systému Windows . Technický mechanismus je následující:

• Hlavní příčina: ShieldBreak úplně obchází záplatu, kterou Microsoft vydal v červenci 2026 pro CVE-2026-50656, dřívější zranitelnost Defenderu známou jako „RoguePlanet“ a objevenou stejným výzkumníkem . Microsoft svou záplatou uzavřel jednu konkrétní cestu zneužití, ale neopravil základní architektonickou slabinu v privilegovaném procesu Defenderu .
• Mechanismus zneužití: ShieldBreak místo původního útoku RoguePlanet na souborový systém využívá napojení na callback v uživatelském režimu v procesu Defenderu. Manipuluje s obsahem souboru během tzv. cloud-hydration skenu přes Cloud Filter API (cfapi) – funkci, kterou Defender používá k načítání a skenování souborů z cloudu. Změnou souboru v přesně načasovaném okamžiku během tohoto skenu trik přiměje Defender vykonat libovolný kód s oprávněními SYSTEM .
• Nutnost akce uživatele: Nejedná se o chybu umožňující vzdálené spuštění kódu. Útočník již musí mít na cílovém počítači nízkoúrovňový přístup (např. přes malware, škodlivý skript nebo neprivilegovanou aplikaci). ShieldBreak pak tento přístup povýší na plná oprávnění SYSTEM .
• Uváděná úspěšnost: Výzkumník tvrdí, že exploit má 100% úspěšnost na Windows 11 25H2 a Windows Server 2025, a nezávisle jej potvrdili renomovaní experti Will Dormann a Kevin Beaumont .

Postižené verze Windows

ShieldBreak funguje na „plně opatchovaných“ systémech k srpnu 2026, žádná existující aktualizace Microsoftu jej neblokuje. Zasaženy jsou :

K úspěšnému zneužití musí být Microsoft Defender aktivně zapnutý .

Souvislost s RoguePlanet (CVE-2026-50656)

• RoguePlanet byla zranitelnost v Defenderu (CVSS 7,8 – Microsoft ji označil jako „Exploitation More Likely“), kterou Nightmare Eclipse zveřejnil jako zero-day 9. června 2026 . Microsoft na ni vydal záplatu v červencovém Patch Tuesday .
• ShieldBreak je funkční obcházení této záplaty. Nejedná se o zcela novou třídu chyb – exploit využívá stejnou základní slabinu v Microsoft Malware Protection Engine, kterou odhalil již RoguePlanet, ale jinou cestou . Bezpečnostní komunita se shoduje, že Microsoft opravil pouze povrchový projev, nikoli samotnou příčinu .

Zero-day status: stále bez záplaty

• ShieldBreak je neopatchovaná zero-day chyba. Microsoft v srpnovém Patch Tuesday 2026 nevydal žádnou opravu .
• Microsoft zranitelnost uznal a uvedl, že ji aktivně vyšetřuje, ale nezavázal se k termínu vydání záplaty . Microsoft navíc okamžitě nezpochybnil platnost obcházejícího exploitu .
• Několik bezpečnostních dodavatelů (Tanium, Security Arsenal) zveřejnilo třetistranná doporučení pro zmírnění rizika – například zpřísnění konfigurace Defenderu nebo omezení neprivilegovaných účtů. Jde však o dočasná opatření, nikoli o záplaty .

Širší kontext: výzkumník vs. Microsoft

Dlouholetý spor

Nightmare Eclipse má dobře zdokumentovanou historii konfliktů s Microsoftem ohledně hlášení chyb a zásad jejich zveřejňování. Výzkumník tvrdí, že Microsoft jeho hlášení opakovaně ignoroval, odmítal nebo zdržoval . ShieldBreak je již devátá veřejně zveřejněná zero-day chyba Windows od tohoto výzkumníka, což z něj dělá jednoho z nejplodnějších nezávislých lovců chyb Windows .

Právní vyhrožování

Koncem července 2026 zaslalo právní oddělení Microsoftu výhružný dopis výzkumníkovi Nightmare Eclipse, ve kterém varovalo před právními kroky, pokud bude i nadále zveřejňovat zranitelnosti mimo oficiální program Microsoftu pro koordinované zveřejňování chyb . Výzkumník přesto ShieldBreak zveřejnil – a načasoval ho záměrně na hodiny po srpnovém Patch Tuesday, aby maximalizoval dopad .

Kritika Microsoftu ze strany bezpečnostní komunity

Širší bezpečnostní komunita ostře kritizuje právní postoj Microsoftu. Mezi hlavní body patří :

• Nezávislé potvrzení: Výzkumníci Will Dormann a Kevin Beaumont potvrdili, že ShieldBreak funguje, čímž prokázali, že záplata Microsoftu je nedostatečná .
• Kritika právních hrozeb: Vyhrožování nezávislým výzkumníkům soudními spory místo řádného opravování chyb je považováno za kontraproduktivní a poškozující důvěru .
• Jednostranné zásady zveřejňování: Zásady Microsoftu jsou některými vnímány jako jednostranné – výzkumníci, kteří se odchýlí od preferovaného časového plánu nebo formátu, čelí právnímu nátlaku, i když jejich hlášení jsou přesná .
• „Střílení posla“ : Několik médií označilo přístup Microsoftu za obviňování posla namísto řešení systémových chyb v privilegované architektuře Defenderu .

Hlavní závěr

ShieldBreak je víc než jen jedna zranitelnost. Je to nejnovější ohnisko eskalujícího konfliktu mezi strategií Microsoftu „záplata a právník“ a bezpečnostní komunitou výzkumníků, která stále častěji vidí veřejné zveřejnění jako jediný způsob, jak přinutit Microsoft k seriózním opravám. K 14. srpnu 2026 neexistuje žádná záplata a právní postoj Microsoftu vůči výzkumníkovi sklidil ostrou kritiku napříč celým oborem .