Microsoft August 2026 Patch Tuesday: LegacyHive, ShieldBreak, dan Eskalasi Mimpi Ngeri

Microsoft mengeluarkan kemas kini Patch Tuesday Ogos 2026 pada 11 Ogos, menangani sejumlah besar kelemahan — anggaran dari firma keselamatan utama berkisar antara 398 hingga 421 CVE, dengan persetujuan meluas pada jumlah "kira-kira 400" . Keluaran ini mengandungi satu zero-day yang sedang dieksploitasi secara aktif, dua zero-day yang didedahkan secara awam, dan kira-kira 62 kelemahan kritikal . Dalam beberapa jam selepas tampung dikeluarkan, penyelidik yang dikenali sebagai Nightmare Eclipse mengeluarkan eksploit baharu, ShieldBreak, yang mendakwa memintas tampung Microsoft sendiri dari bulan sebelumnya .

Skala Tampung Ogos 2026

Microsoft membetulkan antara 398 dan 421 kelemahan merentas Windows, Office, Azure, Exchange, SharePoint, dan produk lain . Kiraan CVE berbeza mengikut sumber:

• SANS ISC: 418 CVE, 62 kritikal
• Tenable: 398 CVE, 42 kritikal
• CrowdStrike: 415 CVE, 62 kritikal
• Splashtop: 421 CVE
• BleepingComputer: ~400 kelemahan, 3 zero-day

Semua sumber utama bersetuju jumlahnya adalah "kira-kira 400" kelemahan .

Zero-Day Yang Dieksploitasi Secara Aktif: CVE-2026-68820

Satu-satunya zero-day yang disahkan Microsoft dieksploitasi di alam liar ialah CVE-2026-68820, kelemahan peningkatan keistimewaan dalam Windows Ancillary Function Driver for WinSock (afd.sys) . Automox menyifatkannya sebagai "pemandu di sebalik sambungan soket Windows pada setiap titik akhir" . Pepijat ini membolehkan penyerang yang disahkan secara tempatan mendapatkan akses peringkat SYSTEM pada sistem yang terjejas .

LegacyHive (CVE-2026-62832): Kelemahan Windows User Profile Service Yang Didedahkan Secara Awam

CVE-2026-62832, yang digelar secara umum "LegacyHive," ialah kelemahan peningkatan keistimewaan dalam Windows User Profile Service berpunca daripada resolusi pautan yang tidak betul sebelum akses fail (CWE-59) . Microsoft menilainya sebagai Penting dengan skor CVSS 7.8, dan menilai eksploitasi sebagai "Lebih Mungkin" .

Bagaimana LegacyHive Berfungsi

Penyerang yang disahkan yang mempunyai bukti kelayakan untuk akaun tempatan kedua boleh menjalankan aplikasi yang direka khas untuk memuatkan 'registry hive' pengguna lain, yang berpotensi membawa kepada keistimewaan pentadbiran . Kelemahan ini menjejaskan Windows 10, Windows 11, dan Windows Server 2022/2025 sebelum binaan yang ditampal .

ShieldBreak: Eksploit Yang Mendakwa Memintas Tampung Microsoft Sendiri

Pada 12 Ogos 2026 — sehari selepas Patch Tuesday — penyelidik Nightmare Eclipse (juga dikenali sebagai Chaotic Eclipse) menerbitkan bukti konsep eksploit yang dipanggil ShieldBreak . Menurut penyelidik itu, ShieldBreak adalah pintasan lengkap tampung Julai 2026 Microsoft untuk CVE-2026-50656 ("RoguePlanet"), kelemahan peningkatan keistimewaan perlumbaan keadaan dalam Microsoft Defender Malware Protection Engine (mpengine.dll) .

Apa Yang ShieldBreak Lakukan

ShieldBreak dilaporkan memberikan keistimewaan NT AUTHORITY\SYSTEM pada Windows 10, Windows 11, dan sistem Windows Server yang ditampal sepenuhnya . Eksploit ini menggunakan laluan serangan yang berbeza daripada pendahulunya: sementara RoguePlanet mengeksploitasi keadaan perlumbaan sistem fail yang melibatkan cakera maya, ShieldBreak memaut 'callback' mod pengguna untuk mengubah kandungan fail semasa imbasan 'cloud-hydration' Defender melalui Windows Cloud Filter API (cfapi) . Penyelidik itu menyatakan bukti konsep mencapai "kadar kejayaan 100%" pada Windows 11 25H2 dan Windows Server 2025 .

Status Semasa

Sesetengah penganalisis menyatakan bahawa Microsoft mungkin telah pun menampal vektor pintasan secara senyap . Walau bagaimanapun, sehingga penerbitan ShieldBreak, tiada pembetulan rasmi Microsoft tersedia untuk menutup pintasan itu . Penyelidik bebas, termasuk Howler Cell, mengesahkan pembiakan berjaya pada hos Windows 11 Pro yang ditampal sepenuhnya .

Eskalasi Lebih Luas: Nightmare Eclipse vs. Microsoft

Keluaran ShieldBreak adalah bab terkini dalam pertelingkahan yang semakin memanas antara Microsoft dan penyelidik tanpa nama Nightmare Eclipse.

Sembilan Zero-Day Sejak April 2026

Sejak April 2026, Nightmare Eclipse telah mendedahkan secara terbuka sembilan eksploit zero-day, termasuk kelemahan terdahulu bernama RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma, dan MiniPlasma . Tiga daripadanya — BlueHammer, RedSun, dan UnDefend — disahkan dieksploitasi di alam liar dan ditambahkan ke katalog Known Exploited Vulnerabilities (KEV) CISA .

Ancaman Undang-Undang Microsoft dan Tindak Balas

Pada 27 Mei 2026, Microsoft Security Response Center (MSRC) menerbitkan catatan yang mengancam pendakwaan jenayah terhadap penyelidik itu . Microsoft juga menyahtauliahkan akaun penyelidik itu di GitHub (milik Microsoft) dan GitLab . Langkah itu mencetuskan tindak balas besar daripada komuniti keselamatan . Menjelang 1 Jun 2026, Microsoft menarik balik sebahagian ancamannya, menjelaskan secara terbuka bahawa ia "tidak berniat untuk mengambil tindakan terhadap individu yang menjalankan atau menerbitkan penyelidikan keselamatan mereka" .

Penerbitan Berterusan Walaupun Ancaman

Nightmare Eclipse terus menerbitkan eksploit zero-day sepanjang pertelingkahan, dengan ShieldBreak tiba serta-merta selepas keluaran Patch Tuesday Ogos 2026 . Penyelidik itu mendakwa laporan kelemahan sebelumnya melalui saluran rasmi Microsoft diabaikan, mendorong pendedahan awam .

Pengambilan Utama untuk Pentadbir IT

1. Tampal CVE-2026-68820 dahulu — zero-day pemacu WinSock sedang dieksploitasi secara aktif di alam liar .
2. Utamakan CVE-2026-62832 (LegacyHive) — walaupun belum dieksploitasi, Microsoft menilai eksploitasi sebagai "Lebih Mungkin," dan kod PoC awam wujud .
3. Situasi ShieldBreak masih cair — Microsoft mungkin telah menampal vektor pintasan secara senyap, tetapi tiada pengesahan atau pembetulan rasmi telah dikeluarkan . Pentadbir harus memantau kemas kini kepada Microsoft Defender Malware Protection Engine.
4. Kempen Nightmare Eclipse masih berterusan — sembilan zero-day telah diterbitkan sejak April 2026, dan lebih banyak mungkin menyusul .