ShieldBreak: Zero-Day in Microsoft Defender gewährt SYSTEM-Rechte – noch kein Patch

Wie ShieldBreak funktioniert: Einhaken im SYSTEM-Prozess von Defender

Die Schwachstelle liegt im Microsoft Defender Antimalware-Dienst (MsMpEng), der als NT AUTHORITY\SYSTEM läuft – der höchsten Zugriffsebene auf einem Windows-System . Hier ist der technische Mechanismus:

• Ursache: ShieldBreak umgeht den Patch von Microsoft für CVE-2026-50656, eine frühere Defender-Schwachstelle namens „RoguePlanet", die derselbe Forscher gemeldet hatte . Microsofts Patch schloss einen spezifischen Angriffspfad, behob aber die zugrunde liegende architektonische Schwachstelle in Defenders privilegiertem Prozess nicht .
• Exploit-Mechanismus: Anstatt RoguePlanets Dateisystem-Race-Condition-Angriff zu wiederholen, hakt ShieldBreak einen User-Mode-Callback in Defenders Prozess ein. Es manipuliert Dateiinhalte während eines Cloud-Hydration-Scans über die Cloud Filter API (cfapi) – eine Funktion, die Defender zum Abrufen und Scannen von Dateien aus der Cloud verwendet. Indem es die Datei im richtigen Moment während dieses Scans verändert, trickst der Exploit Defender aus, beliebigen Code auf SYSTEM-Ebene auszuführen .
• Erfordert Benutzeraktion: Dies ist kein Remote-Code-Execution-Fehler. Der Angreifer muss bereits mit niedrigen Berechtigungen Code auf dem Zielrechner ausführen können (z. B. durch Schadsoftware, ein bösartiges Skript oder eine App mit niedrigen Rechten). ShieldBreak nutzt diesen Zugang dann aus, um zu vollständigen SYSTEM-Rechten zu gelangen .
• Gemeldete Erfolgsquote: Der Forscher gibt eine 100%ige Erfolgsquote auf Windows 11 25H2 und Windows Server 2025 an. Der Exploit wurde von den prominenten Sicherheitsforschern Will Dormann und Kevin Beaumont unabhängig bestätigt .

Betroffene Windows-Versionen

ShieldBreak funktioniert auf „vollständig gepatchten" Systemen mit dem Stand des August-2026-Patch-Tuesday. Kein vorhandenes Microsoft-Update blockiert ihn. Die betroffenen Versionen umfassen :

Damit der Exploit funktioniert, muss Microsoft Defender aktiviert sein .

Zusammenhang mit RoguePlanet (CVE-2026-50656)

• RoguePlanet war eine Defender-Rechteausweitungsschwachstelle (CVSS 7.8 – von Microsoft als „Exploitation More Likely" eingestuft), die Nightmare Eclipse am 9. Juni 2026 als Zero-Day meldete . Microsoft veröffentlichte im Juli-2026-Patch-Tuesday-Zyklus einen Patch dafür .
• ShieldBreak ist eine funktionale Umgehung dieses Patches. Es handelt sich nicht um eine völlig neue Fehlerklasse, sondern um einen Angriff auf dieselbe zugrunde liegende Schwachstelle in der Microsoft Malware Protection Engine, die schon RoguePlanet ausnutzte – nur über einen anderen Codepfad . Die Einschätzung der Community ist, dass Microsofts Patch nur oberflächlich war und nicht die Ursache behob .

Zero-Day-Status: Immer noch kein Patch

• ShieldBreak ist ein ungepatchter Zero-Day. Microsoft hat im August-2026-Patch-Tuesday-Zyklus keinen Fix veröffentlicht .
• Microsoft hat die Schwachstelle bestätigt und erklärt, dass sie aktiv untersucht wird, aber keinen Zeitplan für einen Patch genannt . Bemerkenswerterweise hat Microsoft die Gültigkeit der Umgehung nicht sofort bestritten .
• Mehrere Sicherheitsanbieter (Tanium, Security Arsenal) haben Anleitungen zur Risikominderung von Drittanbietern veröffentlicht – z. B. die Härtung der Defender-Konfiguration und die Einschränkung von Konten mit niedrigen Berechtigungen. Dies sind jedoch Notlösungen, keine Patches .

Der größere Kontext: Forscher vs. Microsoft

Eine langjährige Fehde

Nightmare Eclipse hat eine gut dokumentierte Geschichte öffentlicher Auseinandersetzungen mit Microsoft über die Melde- und Offenlegungspraktiken von Schwachstellen. Der Forscher behauptet, dass Microsoft seine Meldungen wiederholt ignoriert, abgewiesen oder verschleppt hat . ShieldBreak ist die neunte öffentliche Offenlegung eines Windows-Zero-Days durch den Forscher, was ihn zu einem der produktivsten unabhängigen Windows-Bug-Jäger macht .

Die rechtliche Drohung

Im Juli 2026 schickte Microsofts Rechtsabteilung einen Drohbrief an Nightmare Eclipse und warnte vor rechtlichen Schritten, falls der Forscher weiterhin Schwachstellen außerhalb von Microsofts Programm zur koordinierten Offenlegung (Coordinated Vulnerability Disclosure, CVD) veröffentlichen würde . Der Forscher veröffentlichte ShieldBreak trotzdem und wählte den Zeitpunkt bewusst – Stunden nach dem August-2026-Patch-Tuesday – um die Wirkung zu maximieren .

Die Rüge der Sicherheitscommunity an Microsoft

Die breitere Sicherheitscommunity hat Microsofts rechtliche Haltung scharf kritisiert. Zu den wichtigsten Punkten gehören :

• Unabhängig bestätigt: Die Forscher Will Dormann und Kevin Beaumont bestätigten, dass ShieldBreak funktioniert und Microsofts Patch unzureichend ist .
• Kritik an rechtlichen Drohungen: Unabhängigen Forschern mit Klagen zu drohen, anstatt Fehler ordentlich zu beheben, wird als kontraproduktiv und vertrauensschädigend angesehen .
• Einseitige Offenlegungsrichtlinien: Microsofts Richtlinien werden von einigen als einseitig betrachtet. Forscher, die sich außerhalb von Microsofts bevorzugtem Zeitplan oder Format bewegen, sehen sich rechtlicher Einschüchterung ausgesetzt, selbst wenn ihre Meldungen korrekt sind .
• „Den Boten tadeln": Mehrere Medien haben Microsofts Vorgehen als Tadel am Boten bezeichnet, anstatt sich mit den systemischen Fehlern in der privilegierten Architektur von Defender auseinanderzusetzen .

Das Wichtigste in Kürze

ShieldBreak ist mehr als eine einzelne Schwachstelle. Es ist der jüngste Höhepunkt in einer wachsenden Konfrontation zwischen Microsofts Patch-und-Anwalt-Strategie und einer Sicherheitsforschungsgemeinschaft, die zunehmend der Meinung ist, dass die öffentliche Offenlegung der einzige Weg ist, um sinnvolle Korrekturen zu erzwingen. Stand 14. August 2026 existiert kein Patch, und Microsofts rechtliche Haltung gegenüber dem Forscher hat scharfe Kritik aus der ganzen Branche hervorgerufen .