ShieldBreak: el exploit que sortea el parche de Microsoft para la vulnerabilidad de Windows Defender CVE-2026-50656

¿Qué es ShieldBreak?

ShieldBreak es una prueba de concepto (PoC) de día cero publicada entre el 11 y 12 de agosto de 2026 que sortea el parche de julio de 2026 de Microsoft para la vulnerabilidad RoguePlanet (CVE-2026-50656) en Microsoft Defender. Permite a un atacante con acceso local escalar privilegios a NT AUTHORITY\SYSTEM en sistemas Windows completamente actualizados .

¿Cómo sortea el parche?

ShieldBreak no es un error nuevo no relacionado, sino una evasión directa del parche. El investigador declaró que Microsoft "no logró parchear adecuadamente la vulnerabilidad RoguePlanet" y la PoC demuestra una circunvención total de la corrección de julio . En lugar de introducir una clase de exploit diferente, ShieldBreak supuestamente derrota la mitigación exacta que Microsoft implementó cinco semanas antes .

¿Quién lo publicó?

El exploit fue publicado por un investigador de seguridad que utiliza múltiples alias: Nightmare Eclipse, Chaotic Eclipse, INFINITE NIGHTMARE y MSNightmare . Este es el noveno exploit de día cero para Windows publicado públicamente por este investigador .

Sistemas afectados

ShieldBreak afecta a sistemas Windows 10 y Windows 11 totalmente parcheados que ejecutan la versión actualizada de julio de 2026 del motor de protección antimalware de Microsoft Defender . Debido a que es una evasión del parche, cualquier sistema que haya aplicado la corrección de julio para CVE-2026-50656 (y ninguna mitigación adicional) sigue estando expuesto.

Contexto más amplio: el conflicto de meses

Nightmare Eclipse y Microsoft han mantenido un enfrentamiento público por la divulgación de vulnerabilidades durante meses:

• El investigador ha publicado repetidamente PoC de día cero horas después de las actualizaciones del Patch Tuesday de Microsoft, sincronizando las publicaciones para maximizar la presión .
• En mayo de 2026, Microsoft bloqueó al investigador de GitHub y GitLab, y publicó una entrada de blog señalando su comportamiento. El investigador respondió amenazando con publicar más días cero .
• Microsoft calificó las publicaciones como divulgación irresponsable; el investigador argumentó que Microsoft tardaba en parchear los fallos reportados y que la presión pública era la única palanca efectiva .
• The Register informó el 9 de julio de 2026 que Microsoft había "corregido silenciosamente" RoguePlanet, "cerrando el último agujero expuesto por el investigador de seguridad Nightmare Eclipse después de meses de enfrentamiento público" . ShieldBreak, publicado poco más de un mes después, sugiere que la disputa continúa.

Patch Tuesday de agosto de 2026 (11 de agosto de 2026)

El Patch Tuesday de agosto de 2026 de Microsoft abordó aproximadamente 400–418 vulnerabilidades (los recuentos varían según la fuente), incluyendo 62 fallos de gravedad crítica y tres días cero .

Día cero explotado activamente: CVE-2026-68820

• Componente: Controlador de función auxiliar de Windows para WinSock (afd.sys), un controlador en modo kernel que maneja operaciones de socket para casi todos los procesos de Windows en red .
• Tipo: Vulnerabilidad de use-after-free .
• Gravedad: Importante (puntuación CVSS no disponible en las fuentes, pero clasificada como Importante / Elevación de privilegios) .
• Estado: Explotado activamente en estado salvaje en el momento del parcheo .

También se corrigieron otros dos errores de escalada de privilegios en AFD.sys: CVE-2026-61348 y CVE-2026-70307 . La publicación de agosto de Microsoft siguió al Patch Tuesday de julio de 2026, que batió récords con 570 parches, y al ciclo de junio de 2026, con aproximadamente 200 parches .