ShieldBreak: פרצת Zero-Day ב-Windows Defender - איך היא עובדת, מי פגיע ולמה הקהילה זועמת על מיקרוסופט

ShieldBreak אינה פרצה מבודדת. זהו הפרק האחרון בעימות הולך ומחריף בין מיקרוסופט לבין קהילת חוקרי האבטחה, שטוענת כי דיווחי הפגיעות שלה נזנחים, נדחים או נתקלים באיומים pravosdיים במקום בתיקונים ראויים .

איך ShieldBreak עובד: השתלטות על התהליך המוגבה של Defender

הפגיעות נמצאת בשירות האנטי-וירוס Microsoft Defender (MsMpEng), שפועל בהרשאות NT AUTHORITY\SYSTEM - רמת הגישה הגבוהה ביותר ב-Windows, הגבוהה אפילו ממשתמש מנהל . להלן המנגנון הטכני:

• סיבת השורש: ShieldBreak הוא עקיפה מוחלטת (complete bypass) של התיקון שפרסמה מיקרוסופט ביולי 2026 לפגיעות קודמת ב-Defender בשם RoguePlanet (CVE-2026-50656), שגם היא נחשפה על ידי אותו חוקר . מיקרוסופט סגרה נתיב ניצול ספציפי אחד, אך לא תיקנה את החולשה הארכיטקטונית הבסיסית בתהליך המוגבה של Defender .
• מנגנון הניצול: במקום לעשות שימוש חוזר במתקפת ה-Race Condition של RoguePlanet, ShieldBreak תולה (hooks) קריאה חוזרת (callback) במצב משתמש בתוך התהליך של Defender. הוא משנה את תוכן הקובץ במהלך סריקת "הידרציה" מענן (cloud-hydration scan) דרך Cloud Filter API (cfapi) - תכונה ש-Defender משתמש בה כדי לאחזר ולסרוק קבצים מהענן. על ידי שינוי הקובץ ברגע המדויק של הסריקה, הניצול "משכנע" את Defender לבצע קוד זדוני ברמת SYSTEM .
• נדרשת פעולת משתמש: זוהי אינה פרצת הרצת קוד מרחוק. על התוקף להיות כבר בעל יכולת להריץ קוד מוגבל במערכת היעד (למשל, דרך נוזקה, סקריפט זדוני, או אפליקציה לא מאובטחת). ShieldBreak מסלים את אחיזתו להרשאות SYSTEM מלאות .
• אחוזי הצלחה: החוקר טוען ל-100% הצלחה ב-Windows 11 25H2 וב-Windows Server 2025, והניצול אושר באופן עצמאי על ידי חוקרי האבטחה המוכרים וויל דורמן (Will Dormann) וקווין בומון (Kevin Beaumont) .

גרסאות Windows מושפעות

ShieldBreak פועל על מערכות "מעודכנות לחלוטין" נכון ל-Patch Tuesday של אוגוסט 2026, מה שאומר שאף עדכון קיים של מיקרוסופט לא חוסם אותו. הגרסאות המושפעות כוללות :

הניצול דורש ש-Microsoft Defender יהיה פעיל כדי להצליח .

הקשר לפרצת RoguePlanet (CVE-2026-50656)

• RoguePlanet הייתה פרצת הסלמת הרשאות ב-Defender (CVSS 7.8 - "סביר יותר שינוצל" לפי מיקרוסופט) שנחשפה על ידי Nightmare Eclipse ב-9 ביוני 2026 . מיקרוסופט פרסמה עבורה תיקון במחזור ה-Patch Tuesday של יולי 2026 .
• ShieldBreak הוא עקיפה פונקציונלית של התיקון הזה. הוא לא מציג סוג פרצה חדש ובלתי קשור - אלא מגיע לאותה חולשה בסיסית במנוע ההגנה מפני תוכנות זדוניות של מיקרוסופט (Microsoft Malware Protection Engine) ש-RoguePlanet חשפה, אבל דרך נתיב קוד שונה . הערכת הקהילה היא שהתיקון של מיקרוסופט היה תיקון שטחי, ולא פתרון לשורש הבעיה .

סטטוס Zero-Day: עדיין ללא תיקון

• ShieldBreak היא פרצת Zero-Day לא מטופלת. מיקרוסופט לא פרסמה תיקון במחזור ה-Patch Tuesday של אוגוסט 2026 .
• מיקרוסופט הכירה בקיום הפגיעות והצהירה כי היא חוקרת את הנושא, אך לא התחייבה ללוח זמנים לתיקון . למען ההגינות, מיקרוסופט לא הכחישה מיד את תקפות העקיפה .
• מספר חברות אבטחה (Tanium, Security Arsenal) פרסמו הנחיות צמצום נזקים מצד שלישי - כמו הקשחת תצורת Defender והגבלת חשבונות בעלי הרשאות נמוכות - אך אלה הן עקיפות זמניות, לא תיקונים .

ההקשר הרחב: החוקר מול מיקרוסופט

סכסוך ארוך שנים

ל-Nightmare Eclipse היסטוריה מתועדת היטב של חיכוכים פומביים עם מיקרוסופט בנוגע למדיניות דיווח הבאגים והחשיפה שלה. החוקר טוען שמיקרוסופט התעלמה, דחתה או עיכבה שוב ושוב דיווחי פגיעות . ShieldBreak היא החשיפה הפומבית התשיעית של Zero-Day ב-Windows על ידי חוקר זה, מה שהופך אותו לאחד מציידי הבאגים העצמאיים הפוריים ביותר .

האיום המשפטי

בסוף יולי 2026, המחלקה pravosdית של מיקרוסופט שלחה מכתב איום ל-Nightmare Eclipse, והזהירה מפני צעדים pravosdיים אם החוקר ימשיך לחשוף פגיעות בפומבי מחוץ לתוכנית החשיפה המתואמת (CVD) של מיקרוסופט .

החוקר פרסם את ShieldBreak בכל זאת, כשהוא מתזמן בכוונה את הפרסום לשעות לאחר ה-Patch Tuesday של אוגוסט 2026 כדי למקסם את ההשפעה והנזק התדמיתי למיקרוסופט .

ביקורת קהילת האבטחה על מיקרוסופט

קהילת האבטחה הרחבה מתחה ביקורת חריפה על העמדה pravosdית של מיקרוסופט. הנקודות המרכזיות כוללות :

• אושר באופן עצמאי: החוקרים וויל דורמן וקווין בומון אישרו ש-ShieldBreak עובד, ואישרו שהתיקון של מיקרוסופט היה לא מספק .
• ביקורת על איומים pravosdיים: איום בתביעות נגד חוקרים עצמאיים - במקום לתקן באגים כראוי - נתפס כצעד הפוגעני ופוגע באמון .
• מדיניות CVD חד-צדדית: מדיניות החשיפה של מיקרוסופט נתפסת על ידי חלק כחד-צדדית, שבה חוקרים שיוצאים מציר הזמן או הפורמט המועדף על מיקרוסופט נתקלים בהפחדה pravosdית, גם כשהדיווחים שלהם מדויקים .
• "האשמת השליח": מספר כלי תקשורת תיארו את הגישה של מיקרוסופט כהאשמת השליח במקום טיפול בכשלים מערכתיים בארכיטקטורה המוגבהת של Defender .

השורה התחתונה

ShieldBreak היא יותר מסתם פרצה בודדת. היא נקודת ההתלקחות האחרונה בעימות הולך וגובר בין אסטרטגיית "תקן ואיים pravosdית" של מיקרוסופט לבין קהילת חוקרי אבטחה שרואה יותר ויותר בחשיפה פומבית את הדרך היחידה לאלץ תיקונים משמעותיים. נכון ל-14 באוגוסט 2026, לא קיים תיקון, והעמדה pravosdית של מיקרוסופט כלפי החוקר ספגה גינויים חריפים מכל רחבי התעשייה .