ShieldBreak: מה ידוע על חולשת האפס־דיי ב־Microsoft Defender ומה עושים עכשיו

RoguePlanet הייתה חולשת העלאת הרשאות נוספת במנוע Defender, שנקשרה לטיפול לקוי בפתרונות קישור לפני גישה לקובץ וסווגה תחת CWE-59. Microsoft פרסמה עבורה תיקון ביולי, כאשר גרסת Malware Protection Engine ‏1.1.26060.3008 הוצגה כבסיס המתוקן.

ShieldBreak חשובה משום שהדיווחים מתארים נתיב ניצול שונה, שלכאורה עוקף את התיקון ל־RoguePlanet במקום לשחזר את אותה מתקפה בדיוק. התוצאה המדווחת דומה: משתמש מקומי בעל הרשאות נמוכות יכול להגיע להקשר האבטחה בעל ההרשאות הגבוהות ביותר ב־Windows —

NT AUTHORITY\\SYSTEM

מבחינת מנהלי מערכות, המשמעות ברורה: עצם האימות שמחשב קיבל את עדכון יולי עבור RoguePlanet אינו מוכיח ש־ShieldBreak נסגרה. לפי הדיווחים, קוד הוכחת ההיתכנות (PoC) פורסם ב־12 באוגוסט, בעוד שרשומת ה־CVE של Microsoft ציינה שהעבודה על עדכון אבטחה עדיין נמשכת.

אילו גרסאות Windows עלולות להיות מושפעות?

הטענות הציבוריות החזקות ביותר מתייחסות ל־

• Windows 11 25H2;
• גרסאות Windows 11 בערוץ Canary או בערוצי Insider; וכן
• Windows Server 2025.

החוקר שפרסם את ה־PoC טען לשיעור הצלחה של 100% בסביבות הבדיקה הללו. דיווחים עצמאיים תיארו גם שחזור על מערכת Windows 11 מעודכנת לחלוטין, אך המידע שסופק אינו מהווה מטריצת תאימות שאושרה על ידי Microsoft ואינו מוכיח שיעור הצלחה אחיד בכל גרסאות הבנייה.

בדיווחים נוספים נטען שגם Windows 10 ומהדורות שרת קשורות עשויות להיות פגיעות, אף שה־PoC שפורסם אינו נתמך בהן באופן מלא. לכן יש להתייחס לכך כהערכת פגיעוּת מדווחת — לא כאישור שכל גרסת Windows 10 או Windows Server ניתנת לניצול.

תיאור ה־CVE הפומבי של Microsoft מאשר את אזור המוצר הפגיע, כלומר את Malware Protection Engine של Defender, אך במידע שסופק לא מופיעה רשימה מלאה של גרסאות מושפעות לפי מספר build.

האם ShieldBreak כבר שימשה במתקפות?

אין במקורות שסופקו ראיות לכך ש־ShieldBreak שימשה במתקפות בעולם האמיתי. קוד PoC פומבי מגדיל את הסיכוי שחוקרי הגנה ותוקפים ינתחו את השיטה, אך אין לתאר ניצול כפעילות שנצפתה בפועל ללא נתוני טלמטריה, דוח תגובה לאירוע או הצהרת מודיעין איומים רשמית.

משום שהחולשה דורשת גישה מקומית, יש חשיבות מיוחדת למניעת השלבים המוקדמים של חדירה: הרצת קוד לא מהימן, הרשאות מנהל מיותרות, נתיבי ניהול מרחוק חשופים וגניבת פרטי התחברות מקומיים.

מה קרה לסריקות Defender?

בנפרד מהחולשה עצמה, משתמשים דיווחו לאחר עדכוני מנוע ועדכוני מודיעין אבטחה על בעיות תפעוליות ב־Defender. בין הדיווחים: סריקות מהירות ומלאות שנכשלות לקראת סיום, סריקת Offline שנתקעת ב־91%, וקריסות של MsMpEng.exe הקשורות ל־mpengine.dll. בדיווחים אחרים הופיעה גם מחרוזת השגיאה 0x000005.

גרסאות המנוע שהוזכרו בתדירות הגבוהה ביותר היו:

• 1.1.26070.7; וכן
• 1.1.26080.2.

רשומת קריסה ב־Microsoft Q&A זיהתה את גרסת פלטפורמת Defender ‏4.18.26070.9, את גרסת Malware Protection Engine ‏1.1.26070.7 ואת mpengine.dll כרכיב הכושל. ברשומה מופיע גם קוד חריגה c0000005, השונה מקוד 0x000005 שדווח בסיקור אחר.

אחד הדיווחים קישר את התקלות לגרסאות Security Intelligence Update ‏1.457.222.0, ‏1.457.225.0, ‏1.457.226.0, ‏1.457.227.0 ו־1.457.230.0. באותו דיווח נטען שעדכון לגרסה 1.457.236.0 פתר את הקריסה אצל חלק מהמשתמשים, אך יש לאמת זאת מול מידע השחרור העדכני של Microsoft לפני שמתייחסים אליו כתיקון גורף.

האם התגובה ל־ShieldBreak גרמה לכשלי הסריקה?

הראיות הקיימות תומכות בקשר כרונולוגי וטכני, אך לא בסיבתיות מוכחת. התקלות הופיעו לאחר עדכונים הקשורים ל־Defender, משתמשים רבים דיווחו על התנהגות דומה, ורשומות הקריסה מצביעות על מנוע האנטי־נוזקה. עם זאת, במקורות שסופקו אין הצהרה של Microsoft המאשרת שהעדכונים היו תיקונים חפוזים ל־ShieldBreak או שהם גרמו לנסיגה תפעולית.

לכן הטענה ש־Microsoft “קלקלה את Defender בזמן שניסתה לתקן את ShieldBreak” נותרת אפשרית אך לא מאומתת. כדאי לעקוב אחר שני האירועים יחד משום שהם קשורים לאותו אזור כללי במנוע, אך אין להציג אותם כקשורים בוודאות לפני אישור של Microsoft או ניתוח טכני עצמאי.

האם כדאי להחזיר לאחור את עדכוני Defender?

בחלק מהדיווחים נטען שהחזרת עדכוני ההגדרות של Defender לאחור החזירה את הסריקות לפעילות. לכן נסיגה לאחור יכולה לשמש כלי אבחון מבוקר, אך היא אינה פתרון כללי נטול סיכון: היא עלולה להסיר זיהויים חדשים ואף לבטל אמצעי ביניים ש־Microsoft הפיצה באמצעות עדכוני המנוע או מודיעין האבטחה.

המלצה זהירה יותר היא:

1. להשאיר את עדכוני Windows, הפלטפורמה, המנוע ומודיעין האבטחה של Defender מעודכנים, אלא אם החלטת תגובה לאירוע מבוקרת מחייבת אחרת.
2. לבדוק את מצב ההגנה, גרסת המנוע, גרסת הפלטפורמה וגרסת Security Intelligence בכל מכשיר.
3. לבדוק כל נסיגה לאחור תחילה על מערכות מבודדות, לצד תכנית מתועדת לבקרות מפצות.
4. להוסיף סורק עצמאי לפי דרישה או נתיב סריקה המבוסס על EDR אם סריקות Defender נכשלות.
5. להחזיר את עדכוני ההגנה הנוכחיים ברגע שזמינה גרסה תואמת ומאומתת.

אמצעי הפחתה עד שיהיה תיקון ל־ShieldBreak

לצמצם את דרישת הגישה המקומית

השתמשו בחשבונות משתמש רגילים ככל האפשר, הסירו הרשאות מנהל מקומיות שאינן נחוצות, הגבילו RDP וכלי ניהול מרחוק והימנעו מפרטי התחברות מנהליים משותפים. בקרת יישומים, הגבלות על סקריפטים וטלמטריה של תחנות קצה יכולים לצמצם את הסיכוי שתוקף יגיע למנוע הפגיע לאחר השגת דריסת רגל מקומית.

להשאיר את Tamper Protection פעילה

Tamper Protection יכולה לסייע במניעת שינוי לא מורשה של הגדרות Defender. זהו אמצעי הגנה בשכבות, אך הוא אינו מתקן את נתיב המנוע הפגיע ואין לראות בו תיקון ל־ShieldBreak.

להשתמש ב־Attack Surface Reduction כהגנה משלימה

כללי Attack Surface Reduction יכולים להגביל התנהגויות נפוצות של הרצת קוד וחדירה ראשונית, ובהן סקריפטים מנוצלים, יצירת תהליכים חשודה, פעילות לגניבת פרטי התחברות ותהליכי־בת של Office. הם אינם מתקנים ישירות העלאת הרשאות מקומית במנוע Defender אם לתוקף כבר יש אפשרות להריץ את ה־PoC, ולכן צריכים להשלים — ולא להחליף — בקרות גישה ועדכוני אבטחה.

לנטר העלאת הרשאות וכשלי מנוע

צוותי אבטחה צריכים לחפש תהליכים בלתי צפויים ברמת SYSTEM שמקורם בהקשר של משתמש בעל הרשאות נמוכות, מניפולציה חשודה בקישורים או ב־reparse points, תקלות חריגות בשירות Defender וקריסות חוזרות של MsMpEng.exe או mpengine.dll. אינדיקציות אלה אינן מוכיחות ניצול של ShieldBreak, אך הן עשויות לסייע באיתור מערכות הדורשות בדיקה.

לשקול בזהירות מוצר הגנה חלופי

אם סריקות Defender אינן שמישות מבחינה תפעולית, מוצר Endpoint של ספק צד שלישי שנבדק היטב או סורק מפצה עשוי לצמצם חשיפה למנוע הספציפי הזה. עם זאת, המעבר עצמו עלול ליצור פערי תצורה, התנגשויות בין מוצרי אבטחה וסיכוני הגירה. יש לבצע פיילוט, לוודא הגנה בזמן אמת וטלמטריה, ולשמור על כיסוי רציף לאורך המעבר.

סיכום

ShieldBreak היא חולשת Defender חמורה, מקומית וניתנת לניצול, עם PoC פומבי וללא תיקון Microsoft מאומת במידע שסופק נכון ל־19 באוגוסט 2026. שיעור ההצלחה המדווח של 100% ב־Windows 11 25H2, בגרסאות Canary וב־Windows Server 2025 מדאיג, אך נותר טענת חוקר — גם אם דווח על שחזור עצמאי במערכת Windows 11 מעודכנת.

כשלי הסריקה הם בעיה תפעולית נפרדת שעדיין לא נפתרה. העיתוי, הדיווחים החוזרים וחתימות הקריסה במנוע מצדיקים חקירה, אך אינם מוכיחים שתגובת Microsoft ל־ShieldBreak גרמה להם. בשלב זה, הגישה בעלת הסיכון הנמוך ביותר היא להשאיר עדכוני הגנה פעילים, להגביל הרצת קוד והרשאות מנהל, לנטר את תקינות Defender, להוסיף נתיב סריקה חלופי שנבדק מראש במידת הצורך, ולהטמיע את תיקון CVE-2026-69414 של Microsoft מיד לאחר שייבדק ויהיה זמין.