ShieldBreak Windows Zero-Day: Ny Defender-sårbarhed giver SYSTEM-adgang på fuldt opdaterede Windows-maskiner

Sådan virker ShieldBreak: Hooking af Defenders SYSTEM-niveau-proces

Sårbarheden ligger i Microsoft Defender-antimalwaretjenesten (MsMpEng), som kører som NT AUTHORITY\SYSTEM – det højeste adgangsniveau på et Windows-system . Her er den tekniske mekanisme:

• Grundårsag: ShieldBreak er en komplet omgåelse af Microsofts patch fra juli 2026 til CVE-2026-50656, en tidligere Defender-sårbarhed kendt som "RoguePlanet", som den samme forsker afslørede . Microsofts patch lukkede én specifik udnyttelsesvej, men den løste ikke den underliggende arkitektoniske svaghed i Defenders privilegerede proces .
• Exploit-mekanisme: I stedet for at genbruge RoguePlanets filsystem-race-condition-angreb, hooker ShieldBreak et user-mode callback i Defenders proces. Det manipulerer filindholdet under en cloud-hydration-scanning via Cloud Filter API (cfapi) – en funktion Defender bruger til at hente og scanne filer fra skyen. Ved at ændre filen på det rigtige tidspunkt under scanningen narres Defender til at udføre vilkårlig kode på SYSTEM-integritetsniveau .
• Kræver brugerhandling: Dette er ikke en fjernkodeudførelsesfejl. Angriberen skal allerede have lavt privilegeret kodeudførelse på målmaskinen (f.eks. via malware, et ondsindet script eller en uprivilegeret app). ShieldBreak eskalerer derefter dette fodfæste til fuld SYSTEM-adgang .
• Rapporteret succesrate: Forskeren hævder en 100% succesrate på Windows 11 25H2 og Windows Server 2025, og exploittet er uafhængigt blevet bekræftet af de prominente sikkerhedsforskere Will Dormann og Kevin Beaumont .

Berørte Windows-versioner

ShieldBreak virker på "fuldt opdaterede" systemer fra og med august 2026 Patch Tuesday, hvilket betyder, at ingen eksisterende Microsoft-opdatering blokerer det. De berørte versioner inkluderer :

Exploittet kræver, at Microsoft Defender er aktivt aktiveret for at lykkes .

Relation til RoguePlanet (CVE-2026-50656)

• RoguePlanet var en Defender-privilegieeskaleringssårbarhed (CVSS 7.8 – vurderet som "Exploitation More Likely" af Microsoft), som Nightmare Eclipse afslørede som et zero-day den 9. juni 2026 . Microsoft udsendte en patch for den i juli 2026 Patch Tuesday-cyklussen .
• ShieldBreak er en funktionel omgåelse af den patch. Det introducerer ikke en uafhængig fejlklasse – det rammer den samme underliggende svaghed i Microsoft Malware Protection Engine, som RoguePlanet blotlagde, men via en anden kodevej . Samfundets vurdering er, at Microsofts rettelse var en overfladisk patch, ikke en rodårsagsløsning .

Zero-Day-status: Stadig ingen patch

• ShieldBreak er et uopdateret zero-day. Microsoft udsendte ingen rettelse i august 2026 Patch Tuesday-cyklussen .
• Microsoft anerkendte sårbarheden og oplyste, at de aktivt undersøger, men har ikke forpligtet sig til en patch-tidslinje . Bemærkelsesværdigt nok bestred Microsoft ikke umiddelbart gyldigheden af omgåelsen .
• Flere sikkerhedsleverandører (Tanium, Security Arsenal) har offentliggjort tredjeparts afhjælpningsvejledning – såsom at hærde Defender-konfiguration og begrænse lavt privilegerede konti – men disse er workarounds, ikke patches .

Den bredere kontekst: Forsker vs. Microsoft

En længerevarende fejde

Nightmare Eclipse har en veldokumenteret historie med offentlig friktion med Microsoft omkring fejlrapporterings- og oplysningspolitikker. Forskeren hævder, at Microsoft gentagne gange har ignoreret, afvist eller trukket sårbarhedsrapporter i langdrag . ShieldBreak er forskerens niende offentlige Windows zero-day-afsløring, hvilket gør dem til en af de mest produktive uafhængige Windows-fejljægere .

Den juridiske trussel

I slutningen af juli 2026 sendte Microsofts juridiske team et trusselsbrev til Nightmare Eclipse, hvori de advarede om retslige skridt, hvis forskeren fortsatte med offentligt at afsløre sårbarheder uden for Microsofts Coordinated Vulnerability Disclosure (CVD)-program . Forskeren offentliggjorde alligevel ShieldBreak og timede bevidst udgivelsen til timer efter august 2026 Patch Tuesday for at maksimere effekten .

Sikkerhedssamfundets kritik af Microsoft

Det bredere sikkerhedssamfund har skarpt kritiseret Microsofts juridiske holdning. Centrale punkter inkluderer :

• Uafhængigt bekræftet: Forskerne Will Dormann og Kevin Beaumont bekræftede, at ShieldBreak virker, og validerede dermed, at Microsofts patch var utilstrækkelig .
• Kritik af juridiske trusler: At true uafhængige forskere med sagsanlæg – i stedet for at rette fejl ordentligt – ses som kontraproduktivt og skadeligt for tilliden .
• Ensidige CVD-politikker: Microsofts oplysningspolitikker opfattes af nogle som ensidige, hvor forskere, der træder uden for Microsofts foretrukne tidslinje eller format, møder juridisk intimidering, selv når deres rapporter er nøjagtige .
• "At skyde budbringeren": Flere medier beskrev Microsofts tilgang som at skyde budbringeren snarere end at adressere systemiske fejl i Defenders privilegerede arkitektur .

Vigtigste takeaway

ShieldBreak er mere end en enkelt sårbarhed. Det er det seneste stridspunkt i en voksende konfrontation mellem Microsofts patch-og-jurist-strategi og et sikkerhedsforskningssamfund, der i stigende grad ser offentlig offentliggørelse som den eneste måde at tvinge meningsfulde rettelser igennem. Pr. 14. august 2026 findes der ingen patch, og Microsofts juridiske holdning over for forskeren har mødt skarp kritik fra hele branchen .