ShieldBreak Microsoft Defender: Apa yang Disahkan, Belum Ditampal dan Tindakan Pentadbir

ShieldBreak ialah kerentanan eskalasi keistimewaan yang didedahkan kepada umum dalam Microsoft Malware Protection Engine, iaitu enjin pengimbasan yang digunakan oleh Microsoft Defender. Kerentanan ini dijejaki sebagai CVE-2026-69414, berpenarafan Tinggi dengan skor CVSS 7.8. Laporan awam menggambarkannya sebagai jalan pintas terhadap pembaikan Microsoft bagi kerentanan Defender terdahulu, RoguePlanet (CVE-2026-50656).

Microsoft mengakui mengetahui isu tersebut dan berkata kemas kini keselamatan sedang disediakan. Bagaimanapun, berdasarkan sumber yang tersedia setakat 19 Ogos 2026, belum ada tampalan khusus ShieldBreak yang dilaporkan.

Risiko utama ShieldBreak adalah serius, tetapi bersifat khusus. Penyerang biasanya perlu mempunyai akses tempatan, akaun yang disahkan atau keupayaan menjalankan kod pada komputer sasaran terlebih dahulu. Kerentanan ini bukan pengambilalihan jauh tanpa pengesahan; ia lebih tepat dilihat sebagai teknik selepas pencerobohan untuk menaikkan keistimewaan kepada tahap sistem tertinggi Windows.

Apa yang berubah selepas RoguePlanet?

RoguePlanet ialah satu lagi kerentanan eskalasi keistimewaan dalam enjin Defender. Ia dikaitkan dengan kelemahan menyelesaikan pautan sebelum fail diakses, yang diklasifikasikan sebagai CWE-59. Microsoft mengeluarkan pembaikan pada Julai, dengan versi Malware Protection Engine 1.1.26060.3008 dilaporkan sebagai garis dasar yang telah diperbetulkan.

ShieldBreak penting kerana laporan awam menyatakan ia menggunakan laluan eksploitasi berbeza yang memintas pembaikan RoguePlanet, bukannya sekadar mengulangi eksploit asal. Hasil yang dilaporkan masih sama: pengguna tempatan berkeistimewaan rendah boleh mendapatkan konteks keselamatan Windows paling tinggi, iaitu SYSTEM.

Bagi pentadbir IT, perkara ini membawa maksud yang penting: mengesahkan bahawa kemas kini RoguePlanet pada Julai telah dipasang tidak semestinya membuktikan ShieldBreak sudah ditutup. Proof-of-concept (PoC) awam dilaporkan diterbitkan pada 12 Ogos, manakala rekod CVE Microsoft menyatakan kerja untuk kemas kini keselamatan masih berjalan.

Versi Windows mana yang dilaporkan terjejas?

Dakwaan awam paling kukuh tertumpu kepada:

• Windows 11 25H2;
• binaan Windows 11 Canary atau saluran Insider; dan
• Windows Server 2025.

Penyelidik yang menerbitkan PoC mendakwa kadar kejayaan 100% dalam persekitaran ujian tersebut. Seorang penyelidik bebas turut melaporkan bahawa eksploit itu boleh dihasilkan semula pada sistem Windows 11 yang telah dikemas kini sepenuhnya. Namun, bukti yang tersedia belum menjadi matriks keserasian rasmi Microsoft atau pengesahan bahawa eksploit itu berjaya pada semua binaan.

Laporan turut menyatakan Windows 10 dan edisi pelayan berkaitan mungkin terdedah, walaupun PoC yang diterbitkan belum menyokong sistem tersebut sepenuhnya. Oleh itu, dakwaan berkenaan wajar dianggap sebagai penilaian kerentanan yang dilaporkan, bukan pengesahan bahawa setiap binaan Windows 10 atau Windows Server boleh dieksploitasi.

Penerangan CVE awam Microsoft mengesahkan kawasan produk yang terjejas—Malware Protection Engine dalam Defender—tetapi bahan yang tersedia tidak menyenaraikan semua versi dan binaan yang terkesan secara terperinci.

Adakah ShieldBreak sudah digunakan dalam serangan sebenar?

Tiada bukti yang dipetik dalam sumber yang tersedia bahawa ShieldBreak telah digunakan dalam serangan dunia sebenar. Kewujudan PoC awam sememangnya memudahkan penyelidik pertahanan dan penyerang mengkaji teknik tersebut, tetapi ia tidak sepatutnya dilabel sebagai eksploitasi “di alam liar” tanpa telemetri, laporan tindak balas insiden atau kenyataan rasmi perisikan ancaman.

Keperluan akses tempatan juga bermakna organisasi perlu memberi tumpuan kepada peringkat awal pencerobohan. Ini termasuk mencegah pelaksanaan kod tidak dipercayai, mengurangkan hak pentadbir, mengehadkan laluan pengurusan jauh dan melindungi kelayakan akaun tempatan yang dicuri.

Mengapa imbasan Defender pula gagal?

Secara berasingan, pengguna melaporkan masalah operasi selepas kemas kini enjin Defender dan Security Intelligence baru-baru ini. Antara gejala yang dilaporkan ialah:

• imbasan pantas dan penuh gagal hampir selesai;
• Offline Scan terhenti pada 91%; dan
• proses MsMpEng.exe ranap dengan ralat berkaitan mpengine.dll.

Sesetengah laporan turut menyebut rentetan ralat 0x000005.

Versi enjin yang paling kerap dikaitkan dengan masalah itu ialah:

• 1.1.26070.7; dan
• 1.1.26080.2.

Satu rekod ranap dalam Microsoft Q&A mengenal pasti versi platform Defender 4.18.26070.9, Malware Protection Engine 1.1.26070.7 dan kegagalan pada mpengine.dll. Rekod itu menunjukkan kod pengecualian c0000005, yang berbeza daripada ralat 0x000005 yang disebut dalam laporan lain.

Satu laporan menyenaraikan versi Security Intelligence Update 1.457.222.0, 1.457.225.0, 1.457.226.0, 1.457.227.0 dan 1.457.230.0 bersama versi enjin yang terjejas. Laporan sama menyatakan kemas kini kepada 1.457.236.0 menyelesaikan masalah ranap bagi sesetengah pengguna. Namun, hasil itu perlu disemak dengan maklumat keluaran Microsoft yang terkini sebelum dianggap sebagai penyelesaian universal.

Adakah tindak balas ShieldBreak menyebabkan kegagalan imbasan?

Bukti semasa menyokong korelasi masa dan teknikal, bukannya sebab-musabab yang telah disahkan. Kegagalan mula dilaporkan selepas kemas kini Defender berkaitan, beberapa pengguna melihat gejala yang sama, dan rekod ranap menunjuk kepada enjin antimalware. Walau bagaimanapun, sumber yang tersedia tidak mengandungi kenyataan Microsoft yang mengesahkan bahawa kemas kini tersebut ialah mitigasi tergesa-gesa untuk ShieldBreak atau bahawa ia menyebabkan regresi.

Justeru, dakwaan bahawa Microsoft “merosakkan Defender ketika membaiki ShieldBreak” masih munasabah tetapi belum disahkan. Kedua-dua perkembangan wajar dipantau bersama kerana melibatkan komponen enjin yang sama, tetapi tidak boleh dianggap berkait secara pasti sehingga Microsoft atau analisis teknikal bebas membuktikan hubungannya.

Perlukah definisi Defender dipulihkan?

Sesetengah laporan menyatakan pengembalian definisi Defender membantu memulihkan fungsi imbasan dalam kes tertentu. Ini menjadikan rollback berguna sebagai langkah diagnostik terkawal, tetapi ia bukan penyelesaian umum yang bebas risiko. Mengembalikan kandungan kecerdasan atau enjin boleh menghapuskan pengesanan baharu dan mungkin turut menghilangkan mitigasi sementara yang diedarkan Microsoft melalui kemas kini.

Pendekatan yang lebih selamat ialah:

1. Kekalkan kemas kini platform, enjin, kecerdasan keselamatan dan Windows, kecuali keputusan tindak balas insiden yang terkawal memerlukan sebaliknya.
2. Semak status perlindungan Defender, versi enjin, versi platform dan versi Security Intelligence pada peranti.
3. Uji sebarang rollback terlebih dahulu pada sistem terpencil, dengan pelan kawalan pampasan yang didokumenkan.
4. Sediakan pengimbas atas permintaan bebas atau laluan pengimbasan berasaskan EDR jika imbasan Defender gagal.
5. Gunakan semula kemas kini perlindungan semasa sebaik sahaja keluaran yang serasi dan telah disahkan tersedia.

Langkah mitigasi sementara menunggu tampalan ShieldBreak

Kurangkan keperluan akses tempatan

Gunakan akaun pengguna standard apabila boleh dan buang hak pentadbir tempatan yang tidak diperlukan. Hadkan RDP, alat pengurusan jauh dan akses konsol tempatan, selain mengelakkan kelayakan pentadbir yang dikongsi.

Kawalan aplikasi, penyenaraian aplikasi yang dibenarkan, kawalan skrip dan telemetri titik akhir juga boleh mengurangkan peluang penyerang menjalankan PoC selepas mendapat akses awal.

Pastikan Tamper Protection diaktifkan

Tamper Protection boleh membantu menghalang perubahan tidak dibenarkan pada konfigurasi Defender. Ia berguna sebagai pertahanan tambahan, tetapi tidak membaiki laluan enjin yang terdedah dan tidak boleh dianggap sebagai tampalan ShieldBreak.

Gunakan peraturan Attack Surface Reduction

Peraturan Attack Surface Reduction (ASR) boleh mengehadkan tingkah laku pelaksanaan dan akses awal yang biasa disalahgunakan, termasuk skrip, penciptaan proses mencurigakan, aktiviti mencuri kelayakan dan proses anak daripada aplikasi Office.

Namun, ASR tidak secara langsung menutup eskalasi keistimewaan dalam enjin Defender jika penyerang sudah boleh menjalankan PoC. Ia perlu melengkapi kawalan akses dan proses tampalan, bukan menggantikannya.

Pantau eskalasi dan kegagalan enjin

Pasukan keselamatan patut memantau:

• proses baharu berkeistimewaan SYSTEM yang muncul daripada konteks pengguna rendah;
• manipulasi pautan atau reparse point yang luar biasa;
• kegagalan perkhidmatan Defender yang tidak dijangka; dan
• ranap berulang MsMpEng.exe atau mpengine.dll.

Petunjuk ini bukan bukti bahawa ShieldBreak telah dieksploitasi, tetapi boleh membantu mengenal pasti sistem yang memerlukan siasatan lanjut.

Pertimbangkan perlindungan pihak ketiga dengan berhati-hati

Jika imbasan Defender tidak boleh digunakan dari sudut operasi, produk titik akhir pihak ketiga yang telah dinilai atau pengimbas pampasan mungkin mengurangkan pendedahan kepada enjin khusus ini. Namun, perpindahan tersebut boleh mewujudkan jurang konfigurasi, konflik antara produk keselamatan dan risiko migrasi.

Uji perubahan secara berperingkat, sahkan perlindungan masa nyata serta telemetri, dan pastikan liputan keselamatan kekal berterusan sepanjang proses peralihan.

Kesimpulan

ShieldBreak paling tepat difahami sebagai kerentanan enjin Defender berimpak tinggi yang boleh dieksploitasi secara tempatan. PoC telah diterbitkan, Microsoft mengakui isu itu dan sedang menyediakan kemas kini, tetapi tiada tampalan khusus yang disahkan dalam laporan tersedia setakat 19 Ogos 2026.

Dakwaan kadar kejayaan 100% pada Windows 11 25H2, binaan Canary dan Windows Server 2025 membimbangkan, walaupun ia masih merupakan dakwaan penyelidik dan bukannya kadar rasmi untuk semua binaan. Penghasilan semula secara bebas pada sistem Windows 11 yang telah dikemas kini turut dilaporkan.

Kegagalan imbasan Defender pula kekal sebagai isu operasi yang berasingan dan belum selesai. Masa kejadian, laporan pengguna yang berulang serta rekod ranap enjin wajar disiasat, tetapi belum membuktikan bahawa tindak balas Microsoft terhadap ShieldBreak ialah puncanya.

Buat masa ini, pendekatan paling rendah risiko ialah mengekalkan kemas kini perlindungan semasa, mengehadkan pelaksanaan kod dan hak pentadbir tempatan, memantau kesihatan Defender, menyediakan laluan imbasan pampasan yang telah diuji, serta memasang pembaikan CVE-2026-69414 sebaik sahaja Microsoft mengeluarkannya dan organisasi mengesahkan keserasiannya.