ShieldBreak: Eksploitasi Zero-Day pada Microsoft Defender yang Membocorkan Akses SYSTEM

Cara Kerja ShieldBreak: Membajak Proses Defender yang Berjalan di Level SYSTEM

Kerentanan ini terletak pada layanan antimalware Microsoft Defender (MsMpEng), yang berjalan sebagai NT AUTHORITY\SYSTEM — level akses tertinggi di sistem Windows . Berikut mekanisme teknisnya:

• Akar masalah: ShieldBreak merupakan bypass total terhadap patch yang dirilis Microsoft pada Juli 2026 untuk CVE-2026-50656, kerentanan Defender sebelumnya yang dijuluki "RoguePlanet" yang diungkapkan oleh peneliti yang sama . Patch Microsoft hanya menutup satu jalur eksploitasi spesifik, tetapi tidak memperbaiki kelemahan arsitektural yang mendasari di proses berprivilese Defender .
• Mekanisme eksploitasi: Alih-alih menggunakan kembali serangan race-condition di sistem file seperti RoguePlanet, ShieldBreak mengaitkan (hook) sebuah callback di user-mode dalam proses Defender. Eksploitasi ini memanipulasi konten file selama pemindaian cloud-hydration melalui Cloud Filter API (cfapi) — fitur yang digunakan Defender untuk mengambil dan memindai file dari cloud. Dengan mengubah file pada saat yang tepat selama pemindaian ini, eksploitasi mengelabui Defender untuk mengeksekusi kode arbitrer di level integritas SYSTEM .
• Membutuhkan tindakan pengguna: Ini bukan bug remote-code-execution. Penyerang harus sudah memiliki eksekusi kode dengan hak rendah di komputer target (misalnya, melalui malware, skrip berbahaya, atau aplikasi tidak berprivilese). ShieldBreak kemudian meningkatkan akses tersebut menjadi privilese SYSTEM penuh .
• Tingkat keberhasilan: Peneliti mengklaim tingkat keberhasilan 100% pada Windows 11 25H2 dan Windows Server 2025, dan eksploitasi ini telah dikonfirmasi secara independen oleh peneliti keamanan terkenal Will Dormann dan Kevin Beaumont .

Versi Windows yang Terpengaruh

ShieldBreak berfungsi pada sistem yang "fully patched" hingga Patch Tuesday Agustus 2026, artinya tidak ada pembaruan Microsoft yang ada saat ini dapat memblokirnya. Versi yang terpengaruh meliputi :

Eksploitasi ini membutuhkan Microsoft Defender dalam keadaan aktif agar berhasil .

Hubungan dengan RoguePlanet (CVE-2026-50656)

• RoguePlanet adalah kerentanan eskalasi privilese Defender (CVSS 7,8 — dinilai "Exploitation More Likely" oleh Microsoft) yang diungkapkan Nightmare Eclipse sebagai zero-day pada 9 Juni 2026 . Microsoft merilis patch untuknya dalam siklus Patch Tuesday Juli 2026 .
• ShieldBreak adalah bypass fungsional dari patch tersebut. Eksploitasi ini tidak memperkenalkan kelas bug yang tidak terkait — eksploitasi ini mencapai kelemahan mendasar yang sama di Microsoft Malware Protection Engine yang diekspos RoguePlanet, tetapi melalui jalur kode yang berbeda . Penilaian komunitas adalah bahwa perbaikan Microsoft bersifat dangkal, bukan solusi akar masalah .

Status Zero-Day: Belum Ada Patch

• ShieldBreak adalah zero-day yang belum diperbaiki. Microsoft tidak merilis perbaikan apa pun dalam siklus Patch Tuesday Agustus 2026 .
• Microsoft mengakui kerentanan ini dan menyatakan bahwa mereka sedang aktif menyelidiki, tetapi belum berkomitmen pada jadwal perbaikan . Yang perlu dicatat, Microsoft tidak serta-merta membantah keabsahan bypass ini .
• Beberapa vendor keamanan (Tanium, Security Arsenal) telah menerbitkan panduan mitigasi pihak ketiga — seperti memperketat konfigurasi Defender dan membatasi akun berprivilese rendah — tetapi ini hanyalah solusi sementara, bukan patch .

Konteks Lebih Luas: Peneliti vs. Microsoft

Perseteruan Panjang

Nightmare Eclipse memiliki sejarah panjang ketegangan publik dengan Microsoft terkait kebijakan pelaporan dan pengungkapan bug. Peneliti mengklaim bahwa Microsoft telah berulang kali mengabaikan, menolak, atau memperlambat laporan kerentanan . ShieldBreak adalah pengungkapan sembilan zero-day Windows yang dilakukan peneliti ini, menjadikannya salah satu pemburu bug independen Windows paling produktif .

Ancaman Hukum

Pada akhir Juli 2026, tim hukum Microsoft mengirimkan surat ancaman kepada Nightmare Eclipse, memperingatkan tindakan hukum jika peneliti terus mempublikasikan kerentanan di luar program Coordinated Vulnerability Disclosure (CVD) Microsoft . Peneliti tetap menerbitkan ShieldBreak, dengan sengaja mengatur waktu rilis beberapa jam setelah Patch Tuesday Agustus 2026 untuk memaksimalkan dampak .

Kecaman Komunitas Keamanan terhadap Microsoft

Komunitas keamanan yang lebih luas mengecam keras sikap hukum Microsoft. Poin-poin penting meliputi :

• Dikonfirmasi secara independen: Peneliti Will Dormann dan Kevin Beaumont mengonfirmasi ShieldBreak berfungsi, membuktikan bahwa patch Microsoft tidak memadai .
• Kritik terhadap ancaman hukum: Mengancam peneliti independen dengan tuntutan hukum — alih-alih memperbaiki bug dengan benar — dinilai kontraproduktif dan merusak kepercayaan .
• Kebijakan CVD yang berat sebelah: Kebijakan pengungkapan Microsoft dinilai oleh sebagian pihak sebagai sepihak, di mana peneliti yang keluar dari jadwal atau format yang ditentukan Microsoft menghadapi intimidasi hukum, bahkan ketika laporan mereka akurat .
• "Menyalahkan pembawa pesan": Beberapa media membingkai pendekatan Microsoft sebagai menyalahkan pembawa pesan alih-alih mengatasi kelemahan sistemik dalam arsitektur berprivilese Defender .

Kesimpulan Utama

ShieldBreak lebih dari sekadar satu kerentanan. Ini adalah titik nyala terbaru dalam konfrontasi yang tumbuh antara strategi "patch dan ancam hukum" Microsoft dan komunitas peneliti keamanan yang semakin melihat pengungkapan publik sebagai satu-satunya cara untuk memaksa perbaikan yang berarti. Hingga 14 Agustus 2026, belum ada patch yang tersedia, dan sikap hukum Microsoft terhadap peneliti telah menuai kecaman tajam dari seluruh industri .