Microsoftin elokuun 2026 Patch Tuesday sisälsi noin 400 haavoittuvuutta – LegacyHive, ShieldBreak ja Nightmare Eclipsen kiihtyvä vyyhti

Microsoft julkaisi elokuun 2026 Patch Tuesday -päivityksensä 11. elokuuta. Päivitys korjasi valtavan määrän haavoittuvuuksia – suurten tietoturvayritysten arviot vaihtelevat 398:n ja 421:n CVE:n välillä, ja laaja yksimielisyys on, että kokonaismäärä on "noin 400" . Päivitys sisälsi yhden aktiivisesti hyväksikäytetyn nollapäivähaavoittuvuuden, kaksi julkistettua nollapäivähaavoittuvuutta ja noin 62 kriittisen tason haavoittuvuutta . Vain tunteja päivityksen julkaisemisen jälkeen tutkija Nightmare Eclipse julkaisi uuden ShieldBreak-nimisen hyökkäysmenetelmän, joka väittää ohittavan Microsoftin edellisen kuukauden korjauksen .

Elokuun 2026 päivityserän laajuus

Microsoft korjasi 398–421 haavoittuvuutta Windows-, Office-, Azure-, Exchange-, SharePoint- ja muissa tuotteissa . CVE-määrät vaihtelevat lähteestä riippuen:

• SANS ISC: 418 CVE:tä, 62 kriittistä
• Tenable: 398 CVE:tä, 42 kriittistä
• CrowdStrike: 415 CVE:tä, 62 kriittistä
• Splashtop: 421 CVE:tä
• BleepingComputer: noin 400 vikaa, 3 nollapäivähaavoittuvuutta

Kaikki keskeiset lähteet ovat yhtä mieltä siitä, että kokonaismäärä on "noin 400" haavoittuvuutta .

Aktiivisesti hyväksikäytetty nollapäivä: CVE-2026-68820

Ainoa nollapäivähaavoittuvuus, jonka Microsoft vahvisti hyväksikäytetyksi luonnossa, on CVE-2026-68820, kohotusoikeushaavoittuvuus Windows Ancillary Function Driver for WinSock (afd.sys) -komponentissa . Automox kuvaili sitä "ohjaimeksi Windows-sokkeliyhteyksien takana käytännössä jokaisessa päätepisteessä" . Vikana paikallisesti todennettu hyökkääjä voi saada SYSTEM-tason pääsyn vaikutuksen alaisiin järjestelmiin .

LegacyHive (CVE-2026-62832): Julkistettu Windows User Profile Servicen vika

CVE-2026-62832, julkisesti nimeltään "LegacyHive", on kohotusoikeushaavoittuvuus Windows User Profile Servicessä, joka johtuu virheellisestä linkin ratkaisusta ennen tiedoston käyttöä (CWE-59) . Microsoft arvioi sen Tärkeäksi CVSS-pistein 7,8 ja arvioi hyväksikäytön olevan "Todennäköisempää" .

Miten LegacyHive toimii?

Todennettu hyökkääjä, jolla on tunnukset toiselle paikalliselle tilille, voi suorittaa erityisesti muokatun sovelluksen, joka lataa toisen käyttäjän rekisteripesäkkeen, mikä voi johtaa järjestelmänvalvojan oikeuksiin . Vika vaikuttaa Windows 10-, Windows 11- ja Windows Server 2022/2025 -järjestelmiin ennen korjattuja koontiversioita .

ShieldBreak: Hyökkäysmenetelmä, joka väittää ohittavan Microsoftin oman korjauksen

12. elokuuta 2026 – päivä Patch Tuesdayn jälkeen – tutkija Nightmare Eclipse (tunnetaan myös nimellä Chaotic Eclipse) julkaisi proof-of-concept-hyökkäysmenetelmän nimeltä ShieldBreak . Tutkijan mukaan ShieldBreak on täydellinen kierto Microsoftin heinäkuun 2026 korjaukselle CVE-2026-50656 ("RoguePlanet"), joka on kilpailutilanne-kohotusoikeushaavoittuvuus Microsoft Defender Malware Protection Engine (mpengine.dll) -komponentissa .

Mitä ShieldBreak tekee?

ShieldBreak väittää antavan NT AUTHORITY\SYSTEM -oikeudet täysin päivitetyssä Windows 10-, Windows 11- ja Windows Server -järjestelmissä . Hyökkäysmenetelmä käyttää eri hyökkäyspolkua kuin edeltäjänsä: RoguePlanet hyödynsi tiedostojärjestelmän kilpailutilannetta virtuaalilevyjen avulla, kun taas ShieldBreak kytkee käyttäjätilan takaisinkutsuja muuttaakseen tiedostojen sisältöä Defenderin pilvi-hydraatiotarkistuksen aikana Windows Cloud Filter API (cfapi) -järjestelmän kautta . Tutkija ilmoitti proof-of-conceptin saavuttavan "100 %:n onnistumisasteen" Windows 11 25H2- ja Windows Server 2025 -järjestelmissä .

Nykyinen tilanne

Jotkut analyytikot ovat huomauttaneet, että Microsoft on saattanut korjata kiertotien hiljaisesti jo . ShieldBreak-julkaisuhetkellä Microsoftilla ei kuitenkaan ollut virallista korjausta kiertotien sulkemiseksi . Riippumattomat tutkijat, mukaan lukien Howler Cell, vahvistivat onnistuneen toiston täysin päivitetyssä Windows 11 Pro -isäntäjärjestelmässä .

Laajempi eskalaatio: Nightmare Eclipse vs. Microsoft

ShieldBreak-julkaisu on uusin luku kiihtyvässä kiistassa Microsoftin ja nimettömän Nightmare Eclipse -tutkijan välillä.

Yhdeksän nollapäivää huhtikuusta 2026 lähtien

Huhtikuusta 2026 lähtien Nightmare Eclipse on julkistanut yhdeksän nollapäivähyökkäysmenetelmää, mukaan lukien aiemmat viat nimiltään RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma ja MiniPlasma . Kolme näistä – BlueHammer, RedSun ja UnDefend – on vahvistettu hyväksikäytetyksi luonnossa ja lisätty CISA:n Known Exploited Vulnerabilities (KEV) -luetteloon .

Microsoftin oikeustoimiuhkaukset ja vastareaktio

27. toukokuuta 2026 Microsoft Security Response Center (MSRC) julkaisi viestin, jossa uhattiin tutkijaa rikosoikeudellisilla toimenpiteillä . Microsoft poisti myös tutkijan tunnukset GitHubista (Microsoftin omistama) ja GitLabista . Toimi aiheutti merkittävän vastareaktion tietoturvayhteisössä . 1. kesäkuuta 2026 mennessä Microsoft perui osittain uhkauksensa ja selvensi julkisesti, ettei sillä ole "aikomusta ryhtyä toimiin henkilöitä vastaan, jotka suorittavat tai julkaisevat tietoturvatutkimustaan" .

Julkaisut jatkuvat uhkauksista huolimatta

Nightmare Eclipse on jatkanut nollapäivähyökkäysmenetelmien julkaisemista kiistan ajan, ja ShieldBreak ilmestyi välittömästi elokuun 2026 Patch Tuesday -julkaisun jälkeen . Tutkija väittää, että aiempia haavoittuvuusraportteja Microsoftin virallisten kanavien kautta ei huomioitu, mikä motivoi julkisiin paljastuksiin .

Keskeiset poiminnat IT-päättäjille

1. Korjaa CVE-2026-68820 ensin – WinSock-ajurin nollapäivähaavoittuvuutta hyödynnetään aktiivisesti luonnossa .
2. Priorisoi CVE-2026-62832 (LegacyHive) – vaikka sitä ei vielä hyödynnetä, Microsoft arvioi hyväksikäytön olevan "Todennäköisempää", ja julkinen PoC-koodi on olemassa .
3. ShieldBreak-tilanne on jatkuvasti muuttuva – Microsoft on saattanut korjata kiertotien hiljaisesti, mutta virallista vahvistusta tai korjausta ei ole julkaistu . Järjestelmänvalvojien tulee seurata Microsoft Defender Malware Protection Engine -päivityksiä.
4. Nightmare Eclipsen kampanja jatkuu – yhdeksän nollapäivää on julkaistu huhtikuusta 2026 lähtien, ja lisää saattaa olla tulossa .