ShieldBreak Windows Zero-Day: Apa Itu, Cara Ia Berfungsi, dan Kenapa Microsoft Dikecam Komuniti Keselamatan

Pada 12 Ogos 2026 — hanya beberapa jam selepas Microsoft mengeluarkan kemas kini keselamatan Patch Tuesday bulanan — seorang penyelidik keselamatan yang dikenali sebagai Nightmare Eclipse menerbitkan bukti konsep (PoC) eksploitasi bernama ShieldBreak. Ia adalah zero-day eskalasi keistimewaan tempatan (local privilege escalation) dalam Microsoft Defender yang membolehkan penyerang yang sudah mempunyai pelaksanaan kod berkeistimewaan rendah pada mesin Windows meningkatkan akses kepada keistimewaan SYSTEM sepenuhnya. Eksploitasi ini berfungsi pada sistem yang dianggap Microsoft sebagai "ditampal sepenuhnya", dan syarikat itu belum lagi mengeluarkan sebarang pembaikan .

ShieldBreak bukan sekadar pepijat terpencil. Ia adalah bab terbaru dalam konfrontasi yang semakin terbuka antara Microsoft dan komuniti penyelidik keselamatan yang merasakan laporan kelemahan mereka diabaikan, ditolak, atau dijawab dengan ancaman undang-undang dan bukannya tampalan yang betul .

Bagaimana ShieldBreak Berfungsi: Mencangkuk Proses Peringkat SYSTEM Defender

Kelemahan ini terletak pada perkhidmatan antivirus Microsoft Defender (MsMpEng), yang berjalan sebagai NT AUTHORITY\SYSTEM — tahap akses tertinggi pada sistem Windows . Berikut adalah mekanisme teknikalnya:

• Punca utama: ShieldBreak adalah pintasan sepenuhnya tampalan Microsoft Julai 2026 untuk CVE-2026-50656, kelemahan Defender lebih awal dikenali sebagai "RoguePlanet" yang didedahkan oleh penyelidik yang sama . Tampalan Microsoft menutup satu laluan eksploitasi spesifik, tetapi ia tidak membetulkan kelemahan seni bina asas dalam proses istimewa Defender .
• Mekanisme eksploitasi: Daripada menggunakan semula serangan perlumbaan keadaan (race-condition) sistem fail RoguePlanet, ShieldBreak mencangkuk panggil balik mod pengguna (user-mode callback) dalam proses Defender. Ia memanipulasi kandungan fail semasa imbasan hidrasi awan (cloud-hydration scan) melalui Cloud Filter API (cfapi) — ciri yang digunakan Defender untuk mengambil dan mengimbas fail dari awan. Dengan mengubah fail pada saat yang tepat semasa imbasan ini, eksploitasi memperdaya Defender untuk melaksanakan kod sewenang-wenangnya pada tahap integriti SYSTEM .
• Memerlukan tindakan pengguna: Ini bukan pepijat pelaksanaan kod jauh. Penyerang mesti sudah mempunyai pelaksanaan kod berkeistimewaan rendah pada mesin sasaran (cth., melalui perisian hasad, skrip berniat jahat, atau aplikasi tanpa keistimewaan). ShieldBreak kemudian meningkatkan cengkaman itu kepada keistimewaan SYSTEM penuh .
• Kadar kejayaan dilaporkan: Penyelidik mendakwa 100% kadar kejayaan pada Windows 11 25H2 dan Windows Server 2025, dan eksploitasi itu telah disahkan secara bebas oleh penyelidik keselamatan terkemuka Will Dormann dan Kevin Beaumont .

Versi Windows Terjejas

ShieldBreak berfungsi pada sistem yang "ditampal sepenuhnya" setakat Ogos 2026 Patch Tuesday, bermakna tiada kemas kini Microsoft sedia ada yang menyekatnya. Versi terjejas termasuk :

Sistem Operasi	Status
Windows 10	Terjejas (semua versi ditampal sepenuhnya)
Windows 11	Terjejas, termasuk keluaran 25H2 terkini dan saluran Canary
Windows Server 2025	Terjejas

Eksploitasi memerlukan Microsoft Defender diaktifkan secara aktif untuk berjaya .

Kaitan dengan RoguePlanet (CVE-2026-50656)

• RoguePlanet adalah kelemahan eskalasi keistimewaan Defender (CVSS 7.8 — dinilai "Eksploitasi Lebih Mungkin" oleh Microsoft) yang didedahkan Nightmare Eclipse sebagai zero-day pada 9 Jun 2026 . Microsoft mengeluarkan tampalan untuknya dalam kitaran Patch Tuesday Julai 2026 .
• ShieldBreak adalah pintasan berfungsi tampalan itu. Ia tidak memperkenalkan kelas pepijat yang tidak berkaitan — ia mencapai kelemahan seni bina asas yang sama dalam Enjin Perlindungan Perisian Hasad Microsoft yang didedahkan RoguePlanet, tetapi melalui laluan kod yang berbeza . Penilaian komuniti ialah pembaikan Microsoft adalah tampalan permukaan, bukan penyelesaian punca utama .

Status Zero-Day: Masih Tiada Tampalan

• ShieldBreak adalah zero-day yang belum ditambal. Microsoft tidak mengeluarkan sebarang pembaikan dalam kitaran Patch Tuesday Ogos 2026 .
• Microsoft mengakui kelemahan itu dan menyatakan ia sedang menyiasat secara aktif, tetapi tidak komited pada garis masa tampalan . Yang ketara, Microsoft tidak serta-merta mempertikaikan kesahihan pintasan itu .
• Beberapa vendor keselamatan (Tanium, Security Arsenal) telah menerbitkan panduan mitigasi pihak ketiga — seperti mengeraskan konfigurasi Defender dan menyekat akaun berkeistimewaan rendah — tetapi ini hanyalah jalan kerja, bukan tampalan .

Konteks Lebih Luas: Penyelidik lwn. Microsoft

Perseteruan Berpanjangan

Nightmare Eclipse mempunyai sejarah pertikaian umum yang panjang dengan Microsoft mengenai dasar pelaporan pepijat dan pendedahan. Penyelidik mendakwa Microsoft telah berulang kali mengabaikan, menolak, atau memperlambatkan laporan kelemahan . ShieldBreak adalah pendedahan zero-day Windows kesembilan penyelidik, menjadikan mereka salah seorang pemburu pepijat Windows bebas paling prolifik .

Ancaman Undang-Undang

Pada akhir Julai 2026, pasukan undang-undang Microsoft menghantar surat ancaman kepada Nightmare Eclipse, memberi amaran tentang tindakan undang-undang jika penyelidik terus mendedahkan kelemahan secara umum di luar program Pendedahan Kelemahan Terkoordinasi (CVD) Microsoft . Penyelidik menerbitkan ShieldBreak tetap, dengan sengaja menetapkan masa pelepasan untuk beberapa jam selepas Patch Tuesday Ogos 2026 untuk memaksimumkan kesan .

Teguran Komuniti Keselamatan Terhadap Microsoft

Komuniti keselamatan yang lebih luas telah mengkritik pendirian undang-undang Microsoft. Perkara utama termasuk :

• Disahkan secara bebas: Penyelidik Will Dormann dan Kevin Beaumont mengesahkan ShieldBreak berfungsi, mengesahkan bahawa tampalan Microsoft tidak mencukupi .
• Kritikan terhadap ancaman undang-undang: Mengancam penyelidik bebas dengan saman — daripada membaiki pepijat dengan betul — dilihat sebagai tidak produktif dan merosakkan kepercayaan .
• Dasar CVD sebelah pihak: Dasar pendedahan Microsoft dilihat oleh sesetengah pihak sebagai sebelah pihak, di mana penyelidik yang melangkaui garis masa atau format pilihan Microsoft menghadapi ugutan undang-undang, walaupun laporan mereka tepat .
• "Menyalahkan pembawa berita": Beberapa saluran media membingkai pendekatan Microsoft sebagai menyalahkan pembawa berita daripada menangani kelemahan sistemik dalam seni bina istimewa Defender .

Kesimpulan Utama

ShieldBreak adalah lebih daripada satu kelemahan tunggal. Ia adalah titik api terbaru dalam konfrontasi yang semakin meningkat antara strategi tampalan-dan-peguam Microsoft dan komuniti penyelidikan keselamatan yang semakin melihat pendedahan umum sebagai satu-satunya cara untuk memaksa pembaikan yang bermakna. Sehingga 14 Ogos 2026, tiada tampalan wujud, dan pendirian undang-undang Microsoft terhadap penyelidik telah mendapat teguran tajam dari seluruh industri .