ShieldBreak: Wie ein Sicherheitsforscher Microsofts Defender-Patch aushebelt

Was ist ShieldBreak?

ShieldBreak ist ein Proof-of-Concept (PoC) Zero-Day-Exploit, der am 11. bis 12. August 2026 veröffentlicht wurde. Er umgeht den Juli-2026-Patch von Microsoft für die RoguePlanet-Sicherheitslücke (CVE-2026-50656) in Microsoft Defender. Ein Angreifer mit lokalem Zugriff kann damit seine Rechte auf NT-AUTORITÄT\SYSTEM ausweiten – und zwar auf vollständig gepatchten Windows-Systemen .

Wie umgeht ShieldBreak den Patch?

ShieldBreak ist kein völlig neuer Fehler – es ist eine direkte Patch-Umgehung. Der Forscher erklärte, Microsoft habe es versäumt, die RoguePlanet-Sicherheitslücke richtig zu schließen. Der PoC demonstriert eine vollständige Überlistung des Juli-Fixes . Statt eine andere Angriffsklasse zu nutzen, soll ShieldBreak genau die Absicherung aushebeln, die Microsoft vor fünf Wochen ausgeliefert hatte .

Wer hat ShieldBreak veröffentlicht?

Der Exploit wurde von einem Sicherheitsforscher veröffentlicht, der unter mehreren Pseudonymen auftritt: Nightmare Eclipse, Chaotic Eclipse, INFINITE NIGHTMARE und MSNightmare . Es ist der neun-te öffentlich veröffentlichte Windows-Zero-Day-Exploit dieses Forschers .

Welche Systeme sind betroffen?

ShieldBreak betrifft vollständig gepatchte Windows 10- und Windows 11-Systeme, die die Juli-2026-Version der Microsoft Defender Malware Protection Engine ausführen . Da es sich um eine Patch-Umgehung handelt, bleiben alle Systeme gefährdet, die den Juli-Fix für CVE-2026-50656 – und keine weiteren Maßnahmen – installiert haben.

Der größere Zusammenhang: Der monatelange Streit

Nightmare Eclipse und Microsoft liegen seit Monaten im öffentlichen Clinch über die Offenlegung von Sicherheitslücken:

• Der Forscher hat wiederholt Zero-Day-PoCs Stunden nach Microsofts Patch Tuesday veröffentlicht – zeitlich abgestimmt, um den Druck zu maximieren .
• Im Mai 2026 blockierte Microsoft den Forscher auf GitHub und GitLab und veröffentlichte einen Blogbeitrag, in dem sie das Verhalten des Forschers kritisierte. Der Forscher drohte daraufhin mit der Veröffentlichung weiterer Zero-Days .
• Microsoft bezeichnete die Veröffentlichungen als verantwortungslose Offenlegung; der Forscher argumentierte, Microsoft sei zu langsam bei der Behebung gemeldeter Schwachstellen und öffentlicher Druck sei das einzig wirksame Mittel .
• Im Juli berichtete The Register, dass Microsoft RoguePlanet „still und leise“ geschlossen habe, um das jüngste Loch zu stopfen, das der Forscher aufgestoßen hatte . ShieldBreak, gut einen Monat später veröffentlicht, deutet darauf hin, dass der Streit weitergeht.

August 2026 Patch Tuesday (11. August 2026)

Der August-Patch-Tuesday von Microsoft schloss etwa 400–418 Schwachstellen (Quellenangaben variieren), darunter 62 kritische Lücken und drei Zero-Days .

Aktiv ausgenutzter Zero-Day: CVE-2026-68820

• Komponente: Windows Ancillary Function Driver für WinSock (afd.sys), ein Kernel-Mode-Treiber, der Socket-Operationen für fast alle vernetzten Windows-Prozesse verwaltet .
• Typ: Use-After-Free-Schwachstelle .
• Schweregrad: Important (kein CVSS-Score in den Quellen, aber als Important / Elevation of Privilege eingestuft) .
• Status: Zum Zeitpunkt der Behebung aktiv ausgenutzt .

Zwei weitere AFD.sys-Privilegien-Eskalations-Fehler wurden ebenfalls behoben: CVE-2026-61348 und CVE-2026-70307 . Das August-Update folgte auf den rekordverdächtigen Patch Tuesday vom Juli 2026 mit 570 Patches und den Juni-Zyklus mit rund 200 Patches .