ShieldBreak: il nuovo exploit bypassa la correzione di Microsoft per la vulnerabilità RoguePlanet in Windows Defender

Chi lo ha rilasciato?

L'exploit è stato rilasciato da un ricercatore di sicurezza che utilizza molteplici alias: Nightmare Eclipse, Chaotic Eclipse, INFINITE NIGHTMARE e MSNightmare . Questo è il nono exploit zero-day pubblico per Windows rilasciato dal ricercatore .

Sistemi interessati

ShieldBreak colpisce i sistemi Windows 10 e Windows 11 completamente aggiornati che eseguono la versione di luglio 2026 aggiornata del motore di protezione antimalware di Microsoft Defender . Poiché si tratta di un bypass della patch, qualsiasi sistema che abbia applicato la correzione di luglio per CVE-2026-50656 — e nessuna ulteriore mitigazione — rimane esposto.

Contesto più ampio: la disputa di mesi

Nightmare Eclipse e Microsoft sono bloccati in un confronto pubblico sulla divulgazione delle vulnerabilità da mesi:

• Il ricercatore ha rilasciato ripetutamente PoC zero-day poche ore dopo gli aggiornamenti del Patch Tuesday di Microsoft, tempismo i rilasci per massimizzare la pressione .
• A maggio 2026, Microsoft ha bloccato il ricercatore da GitHub e GitLab, e ha pubblicato un post sul blog criticando il comportamento del ricercatore. Il ricercatore ha risposto minacciando di rilasciare ulteriori zero-day .
• Microsoft ha caratterizzato i rilasci come divulgazione irresponsabile; il ricercatore ha sostenuto che Microsoft era lenta nel correggere i difetti segnalati e che la pressione pubblica era l'unica leva efficace .
• Il sito The Register ha riportato il 9 luglio 2026 che Microsoft aveva "corretto silenziosamente" RoguePlanet, "chiudendo l'ultimo buco esposto dal ricercatore di sicurezza Nightmare Eclipse dopo mesi di schermaglie pubbliche" . ShieldBreak, rilasciato poco più di un mese dopo, suggerisce che la disputa è in corso.

Patch Tuesday di agosto 2026 (11 agosto 2026)

Il Patch Tuesday di agosto 2026 di Microsoft ha affrontato circa 400-418 vulnerabilità (i conteggi variano a seconda della fonte), inclusi 62 difetti di gravità critica e tre zero-day .

Zero-day sfruttato attivamente: CVE-2026-68820

• Componente: Windows Ancillary Function Driver for WinSock (afd.sys), un driver in modalità kernel che gestisce le operazioni socket per quasi tutti i processi Windows in rete .
• Tipo: Vulnerabilità use-after-free .
• Gravità: Importante (punteggio CVSS non disponibile nelle fonti, ma classificato come Importante / Elevazione di privilegio) .
• Stato: Sfruttato attivamente in natura al momento della correzione .

Sono stati corretti anche due bug aggiuntivi di elevazione dei privilegi in AFD.sys: CVE-2026-61348 e CVE-2026-70307 . Il rilascio di agosto di Microsoft ha fatto seguito al Patch Tuesday di luglio 2026, che ha stabilito un record con 570 patch, e al ciclo di giugno 2026, che ne contava circa 200 .