ShieldBreak: Nieuw Windows Zero-Day in Microsoft Defender

Hoe ShieldBreak Werkt: Het Kapen van Defender's SYSTEM-Proces

De kwetsbaarheid zit in de Microsoft Defender antimalwaredienst (MsMpEng), die draait als NT AUTHORITY\SYSTEM – het hoogste toegangsniveau op een Windows-systeem . De technische werking is als volgt:

• Oorzaak: ShieldBreak omzeilt volledig Microsofts patch voor CVE-2026-50656, een eerdere Defender-kwetsbaarheid die bekend staat als 'RoguePlanet', die eveneens door dezelfde onderzoeker was gemeld . Microsofts patch sloot één specifieke aanvalsweg af, maar verhielp de onderliggende architectuurfout in Defender's geprivilegieerde proces niet .
• Exploit-mechanisme: Waar RoguePlanet gebruikmaakte van een race-conditie in het bestandssysteem, gebruikt ShieldBreak een 'user-mode callback hook'. Het manipuleert de inhoud van bestanden tijdens een cloud-hydratatiescan via de Cloud Filter API (cfapi) – een functie die Defender gebruikt om bestanden uit de cloud te halen en te scannen. Door het bestand op het juiste moment tijdens deze scan te wijzigen, wordt Defender voor de gek gezet en wordt willekeurige code uitgevoerd op het SYSTEM-niveau .
• Vereist actie van de gebruiker: Dit is geen 'remote code execution'-bug. De aanvaller moet al laaggeprivilegieerde code kunnen uitvoeren op de doelcomputer (bijvoorbeeld via malware, een kwaadaardig script of een app zonder rechten). ShieldBreak breidt die toegang vervolgens uit tot volledige SYSTEM-rechten .
• Opgegeven succespercentage: De onderzoeker claimt een 100% succespercentage op Windows 11 25H2 en Windows Server 2025. De exploit is onafhankelijk bevestigd door de vooraanstaande beveiligingsonderzoekers Will Dormann en Kevin Beaumont .

Getroffen Windows-versies

ShieldBreak werkt op 'volledig geüpdatete' systemen zoals die waren na Patch Tuesday van augustus 2026. Dit betekent dat er nog geen bestaande Microsoft-update is die het blokkeert. De getroffen versies zijn :

De exploit vereist dat Microsoft Defender actief is ingeschakeld om te kunnen slagen .

Verband met RoguePlanet (CVE-2026-50656)

• RoguePlanet was een privilege-escalatiekwetsbaarheid in Defender (CVSS 7.8 – door Microsoft beoordeeld als 'Exploitation More Likely') die Nightmare Eclipse op 9 juni 2026 als zero-day openbaar maakte . Microsoft bracht er een patch voor uit in de Patch Tuesday-cyclus van juli 2026 .
• ShieldBreak is een functionele omzeiling van die patch. Het maakt geen gebruik van een compleet andere bugklasse, maar bereikt dezelfde onderliggende zwakheid in de Microsoft Malware Protection Engine die RoguePlanet blootlegde, maar via een andere code-route . De beveiligingsgemeenschap is van mening dat Microsofts fix een oppervlakkige pleister was en geen oplossing voor de kern van het probleem .

Zero-Day Status: Nog Steeds Geen Patch

• ShieldBreak is een onhersteld zero-day lek. Microsoft bracht geen fix uit in de Patch Tuesday-cyclus van augustus 2026 .
• Microsoft heeft de kwetsbaarheid erkend en verklaart dat het actief onderzoek doet, maar heeft nog geen datum voor een patch genoemd . Opvallend is dat Microsoft de geldigheid van de omzeiling niet onmiddellijk heeft betwist .
• Meerdere beveiligingsleveranciers (Tanium, Security Arsenal) hebben mitigatie-adviezen gepubliceerd – zoals het harder maken van de Defender-configuratie en het beperken van laaggeprivilegieerde accounts – maar dit zijn tijdelijke oplossingen, geen echte patches .

De Grotere Context: Onderzoeker vs. Microsoft

Een Langdurige Vete

Nightmare Eclipse heeft een goed gedocumenteerde geschiedenis van wrijving met Microsoft over het melden en openbaar maken van bugs. De onderzoeker beweert dat Microsoft herhaaldelijk meldingen van kwetsbaarheden heeft genegeerd, afgewimpeld of vertraagd . ShieldBreak is de negende openbare zero-day die de onderzoeker voor Windows heeft gepubliceerd, waarmee hij een van de meest productieve onafhankelijke Windows-bugjagers is .

De Juridische Dreiging

In eind juli 2026 stuurde Microsofts juridische team een dreigbrief naar Nightmare Eclipse, waarin werd gewaarschuwd voor juridische stappen als de onderzoeker kwetsbaarheden buiten Microsofts 'Coordinated Vulnerability Disclosure (CVD)'-programma bleef publiceren . De onderzoeker publiceerde ShieldBreak desondanks, en koos er bewust voor om dit enkele uren na Patch Tuesday (augustus 2026) te doen om de impact te maximaliseren .

De Afkeuring van de Beveiligingsgemeenschap

De bredere beveiligingsgemeenschap heeft Microsofts juridische houding scherp bekritiseerd. De belangrijkste punten zijn :

• Onafhankelijk bevestigd: Onderzoekers Will Dormann en Kevin Beaumont bevestigden dat ShieldBreak werkt, wat aantoont dat Microsofts patch ontoereikend was .
• Kritiek op juridische dreigementen: Het bedreigen van onafhankelijke onderzoekers met rechtszaken – in plaats van het goed repareren van bugs – wordt gezien als contraproductief en schadelijk voor het vertrouwen .
• Eenrichtingsverkeer in CVD-beleid: Microsofts openbaarmakingsbeleid wordt door sommigen als eenrichtingsverkeer gezien, waarbij onderzoekers die buiten Microsofts gewenste tijdlijn of formaat vallen, te maken krijgen met juridische intimidatie, zelfs als hun meldingen correct zijn .
• 'De boodschapper de schuld geven': Verschillende media omschreven Microsofts aanpak als het verwijten van de boodschapper in plaats van het aanpakken van fundamentele systeemfouten in Defender's geprivilegieerde architectuur .

Conclusie

ShieldBreak is meer dan een enkele kwetsbaarheid. Het is het zoveelste conflict in een groeiende confrontatie tussen Microsofts strategie van 'patchen en dreigen' en een beveiligingsonderzoeksgemeenschap die het gevoel heeft dat alleen het openbaar maken van kwetsbaarheden leidt tot echte oplossingen. Op 14 augustus 2026 is er nog geen patch, en Microsofts juridische houding ten opzichte van de onderzoeker heeft geleid tot scherpe kritiek vanuit de hele industrie .