Microsoft augustus 2026 Patch Tuesday: LegacyHive, ShieldBreak en de escalatie van Nightmare Eclipse

Microsoft heeft op 11 augustus 2026 zijn maandelijkse Patch Tuesday-update uitgebracht. Daarmee wordt een enorme hoeveelheid kwetsbaarheden gedicht — schattingen van grote beveiligingsbedrijven lopen uiteen van 398 tot 421 CVEs, met brede overeenstemming over 'ruwweg 400' kwetsbaarheden in totaal . De update bevatte één actief misbruikte zero-day, twee openbaar gemaakte zero-days en ongeveer 62 als kritiek beoordeelde kwetsbaarheden . Binnen enkele uren na het uitbrengen van de patches publiceerde de onderzoeker die bekendstaat als Nightmare Eclipse een nieuwe exploit, genaamd ShieldBreak, die naar eigen zeggen de patch van Microsoft van de vorige maand omzeilt .

De omvang van de augustus 2026 patchbatch

Microsoft dichtte tussen de 398 en 421 kwetsbaarheden in Windows, Office, Azure, Exchange, SharePoint en andere producten . De CVE-aantallen verschillen per bron:

• SANS ISC: 418 CVEs, 62 kritiek
• Tenable: 398 CVEs, 42 kritiek
• CrowdStrike: 415 CVEs, 62 kritiek
• Splashtop: 421 CVEs
• BleepingComputer: ~400 fouten, 3 zero-days

Alle grote bronnen zijn het erover eens dat het totaal op 'ruwweg 400' kwetsbaarheden ligt .

De actief misbruikte zero-day: CVE-2026-68820

De enige zero-day waarvan Microsoft bevestigde dat deze in het wild werd misbruikt, is CVE-2026-68820, een kwetsbaarheid voor verhoging van bevoegdheden in de Windows Ancillary Function Driver for WinSock (afd.sys) . Automox omschreef het als 'de driver achter Windows-socketverbindingen op vrijwel elk endpoint' . Het bug stelt een lokaal geauthenticeerde aanvaller in staat om SYSTEM-niveau toegang te krijgen op getroffen systemen .

LegacyHive (CVE-2026-62832): Openbaar gemaakte Windows User Profile Service-fout

CVE-2026-62832, in de wandelgangen 'LegacyHive' gedoopt, is een kwetsbaarheid voor verhoging van bevoegdheden in de Windows User Profile Service, die voortkomt uit een onjuiste koppelingsoplossing vóór bestandstoegang (CWE-59) . Microsoft gaf het een belangrijke classificatie met een CVSS-score van 7,8 en beoordeelde de kans op misbruik als 'waarschijnlijker' .

Hoe LegacyHive werkt

Een geauthenticeerde aanvaller die beschikt over inloggegevens voor een tweede lokaal account kan een speciaal geprepareerde applicatie uitvoeren om de registry-hive van een andere gebruiker te laden, wat kan leiden tot administratorrechten . De kwetsbaarheid treft Windows 10, Windows 11 en Windows Server 2022/2025 voordat de gepatchte builds zijn geïnstalleerd .

ShieldBreak: De exploit die Microsofts eigen patch zou omzeilen

Op 12 augustus 2026 — de dag na Patch Tuesday — publiceerde onderzoeker Nightmare Eclipse (ook bekend als Chaotic Eclipse) een proof-of-concept exploit genaamd ShieldBreak . Volgens de onderzoeker is ShieldBreak een volledige omzeiling van Microsofts juli-patch voor CVE-2026-50656 ('RoguePlanet'), een race-condition-kwetsbaarheid voor privilege-escalatie in de Microsoft Defender Malware Protection Engine (mpengine.dll) .

Wat ShieldBreak doet

ShieldBreak verleent naar verluidt NT AUTHORITY\SYSTEM-rechten op volledig gepatchte Windows 10-, Windows 11- en Windows Server-systemen . De exploit gebruikt een aanvalspad dat verschilt van zijn voorganger: terwijl RoguePlanet een bestandssysteem-raceconditie met virtuele schijven misbruikte, onderschept ShieldBreak user-mode callbacks om bestandsinhoud te wijzigen tijdens Defenders cloud-hydratiescan via de Windows Cloud Filter API (cfapi) . De onderzoeker stelde dat de proof-of-concept een '100% slagingspercentage' haalt op Windows 11 25H2 en Windows Server 2025 .

Huidige status

Sommige analisten merkten op dat Microsoft de omzeilingsvector mogelijk al geruisloos heeft gepatcht . Echter, op het moment van publicatie van ShieldBreak was er geen officiële Microsoft-fix beschikbaar om de omzeiling te dichten . Onafhankelijke onderzoekers, waaronder Howler Cell, bevestigden succesvolle reproductie op een volledig gepatchte Windows 11 Pro-host .

De bredere escalatie: Nightmare Eclipse versus Microsoft

De publicatie van ShieldBreak is het meest recente hoofdstuk in een escalerend conflict tussen Microsoft en de anonieme onderzoeker Nightmare Eclipse.

Negen zero-days sinds april 2026

Sinds april 2026 heeft Nightmare Eclipse in totaal negen zero-day exploits openbaar gemaakt, waaronder eerdere kwetsbaarheden met de namen RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma en MiniPlasma . Drie hiervan — BlueHammer, RedSun en UnDefend — werden bevestigd als misbruikt in het wild en toegevoegd aan de CISA Known Exploited Vulnerabilities (KEV)-catalogus .

Juridische dreigementen van Microsoft en de terugslag

Op 27 mei 2026 publiceerde het Microsoft Security Response Center (MSRC) een bericht waarin strafrechtelijke vervolging werd gedreigd tegen de onderzoeker . Microsoft schakelde ook de accounts van de onderzoeker uit op GitHub (eigendom van Microsoft) en GitLab . Deze zet leidde tot een grote terugslag vanuit de beveiligingsgemeenschap . Op 1 juni 2026 zwakte Microsoft zijn dreigementen gedeeltelijk af, door publiekelijk te verduidelijken dat het 'niet de bedoeling heeft om actie te ondernemen tegen personen die hun beveiligingsonderzoek uitvoeren of publiceren' .

Voortdurende publicatie ondanks dreigementen

Nightmare Eclipse is doorgegaan met het publiceren van zero-day exploits gedurende het hele conflict, waarbij ShieldBreak onmiddellijk na de Patch Tuesday-update van augustus 2026 verscheen . De onderzoeker beweert dat eerdere meldingen van kwetsbaarheden via de officiële kanalen van Microsoft werden genegeerd, wat de openbaarmakingen motiveerde .

Belangrijkste aandachtspunten voor IT-beheerders

1. Patch CVE-2026-68820 als eerste — de WinSock-driver zero-day wordt actief misbruikt in het wild .
2. Geef prioriteit aan CVE-2026-62832 (LegacyHive) — hoewel nog niet misbruikt, beoordeelt Microsoft de kans op misbruik als 'waarschijnlijker' en er bestaat openbare PoC-code .
3. De ShieldBreak-situatie is nog niet uitgekristalliseerd — Microsoft heeft de omzeilingsvector mogelijk al geruisloos gepatcht, maar er is geen officiële bevestiging of fix uitgebracht . Beheerders moeten de updates voor de Microsoft Defender Malware Protection Engine in de gaten houden.
4. De campagne van Nightmare Eclipse gaat door — er zijn negen zero-days gepubliceerd sinds april 2026 en er kunnen er nog volgen .