ShieldBreak-hyökkäys ohittaa Microsoftin Defender-korjauksen

Tässä on kattava katsaus ShieldBreak-hyökkäykseen ja sen taustoihin.

Mikä on ShieldBreak?

ShieldBreak on konseptitodistus (PoC) -nollapäivähyökkäys, joka julkaistiin 11.–12. elokuuta 2026. Se ohittaa Microsoftin heinäkuussa 2026 julkaiseman korjauksen RoguePlanet-haavoittuvuuteen (CVE-2026-50656) Microsoft Defenderissä. Hyökkäys antaa paikalliselle käyttäjälle mahdollisuuden nostaa oikeutensa NT AUTHORITY\SYSTEM -tasolle täysin päivitetyillä Windows-järjestelmillä .

Miten ShieldBreak ohittaa korjauksen?

ShieldBreak ei ole täysin uusi haavoittuvuus, vaan suora korjauksen kiertotapa. Tutkijan mukaan Microsoft "epäonnistui RoguePlanet-haavoittuvuuden asianmukaisessa korjaamisessa", ja PoC osoittaa, kuinka heinäkuun korjaus voidaan kiertää kokonaan . Sen sijaan, että se käyttäisi erilaista hyökkäysluokkaa, ShieldBreak kumoaa täsmälleen sen suojauksen, jonka Microsoft toimitti viisi viikkoa aiemmin .

Kuka julkaisi hyökkäyksen?

Hyökkäyksen on julkaissut tietoturvatutkija, joka käyttää useita nimimerkkejä: Nightmare Eclipse, Chaotic Eclipse, INFINITE NIGHTMARE ja MSNightmare . Tämä on tutkijan yhdeksäs julkisesti julkaistu Windowsin nollapäivähyökkäys .

Vaikuttavat järjestelmät

ShieldBreak vaikuttaa täysin päivitettyihin Windows 10 ja Windows 11 -järjestelmiin, joissa on käytössä heinäkuun 2026 päivitetty versio Microsoft Defenderin haittaohjelmien torjuntamoottorista . Koska kyseessä on korjauksen kiertotapa, kaikki järjestelmät, joihin on asennettu heinäkuun korjaus ilman muita suojaustoimenpiteitä, ovat edelleen alttiita.

Laajempi konteksti: kuukausia kestänyt kiista

Nightmare Eclipse ja Microsoft ovat olleet julkisessa sanahArkassa haavoittuvuuksien ilmoittamisesta kuukausia:

• Tutkija on toistuvasti julkaissut nollapäivä-PoC-hyökkäyksiä tunteja Microsoftin Patch Tuesday -päivitysten jälkeen ajoittaen julkaisut maksimoidakseen paineen .
• Toukokuussa 2026 Microsoft esti tutkijan pääsyn GitHubiin ja GitLabiin ja julkaisi blogikirjoituksen, jossa arvosteli tutkijan toimintaa. Tutkija vastasi uhkaamalla julkaista lisää nollapäivähyökkäyksiä .
• Microsoft luonnehti julkistuksia vastuuttomiksi, kun taas tutkija väitti Microsoftin olleen hidas korjaamaan raportoituja haavoittuvuuksia ja että julkinen paine oli ainoa tehokas keino .
• The Register raportoi 9. heinäkuuta 2026, että Microsoft oli "hiljaa korjannut" RoguePlanetin, "sulkien viimeisimmän aukon, jonka tietoturvatutkija Nightmare Eclipse oli paljastanut kuukausia kestäneen julkisen kinaamisen jälkeen" . Hieman yli kuukautta myöhemmin julkaistu ShieldBreak viittaa siihen, että kiista jatkuu.

Elokuun 2026 Patch Tuesday (11. elokuuta 2026)

Microsoftin elokuun 2026 Patch Tuesday korjasi noin 400–418 haavoittuvuutta (lähteiden määrät vaihtelevat), mukaan lukien 62 kriittistä haavoittuvuutta ja kolme nollapäivää .

Aktiivisesti hyväksikäytetty nollapäivä: CVE-2026-68820

• Komponentti: Windows Ancillary Function Driver for WinSock (afd.sys), kernel-tilan ajuri, joka käsittelee verkkoliikennettä lähes kaikissa Windowsin verkotetuissa prosesseissa .
• Tyyppi: Use-after-free -haavoittuvuus .
• Vakavuus: Tärkeä (CVSS-pisteet eivät saatavilla lähteistä, mutta luokiteltu Tärkeäksi / oikeuksien korotukseksi) .
• Tila: Aktiivisesti hyväksikäytetty villissä luonnossa korjauksen aikaan .

Lisäksi korjattiin kaksi muuta AFD.sys-ajurin oikeuksien korotushaavoittuvuutta: CVE-2026-61348 ja CVE-2026-70307 . Microsoftin elokuun julkaisu seurasi heinäkuun 2026 ennätyksellistä 570 päivityksen Patch Tuesdayta ja kesäkuun 2026 noin 200 päivityksen sykliä .