Microsofts Patch Tuesday august 2026: LegacyHive, ShieldBreak og Nightmare Eclipse-opptrappingen

Omfanget av august-oppdateringen 2026

Microsoft fikset mellom 398 og 421 sårbarheter på tvers av Windows, Office, Azure, Exchange, SharePoint og andre produkter . Antall CVE-er varierer etter kilde:

• SANS ISC: 418 CVE-er, 62 kritiske
• Tenable: 398 CVE-er, 42 kritiske
• CrowdStrike: 415 CVE-er, 62 kritiske
• Splashtop: 421 CVE-er
• BleepingComputer: ~400 feil, 3 nullpunktsproblemer

Alle de store kildene er enige om at totalen er «omtrent 400» sårbarheter .

Det aktivt utnyttede nullpunktsproblemet: CVE-2026-68820

Det eneste nullpunktsproblemet Microsoft bekreftet utnyttet i ville, er CVE-2026-68820, et forhøyelsesproblem i Windows Ancillary Function Driver for WinSock (afd.sys) . Automox beskrev det som «driveren bak Windows socket-tilkoblinger på i praksis alle enheter» . Feilen lar en lokalt autentisert angriper få SYSTEM-tilgang på berørte systemer .

LegacyHive (CVE-2026-62832): Offentliggjort feil i Windows User Profile Service

CVE-2026-62832, offentlig kalt «LegacyHive», er et forhøyelsesproblem i Windows User Profile Service som skyldes feilaktig lenkeoppløsning før filtilgang (CWE-59) . Microsoft rangerte den som Viktig med en CVSS-score på 7,8, og vurderte utnyttelse som «Mer sannsynlig» .

Slik fungerer LegacyHive

En autentisert angriper som har påloggingsinformasjon for en annen lokal konto, kan kjøre en spesiallaget applikasjon for å laste inn en annen brukers registerhive, noe som kan føre til administratorrettigheter . Feilen rammer Windows 10, Windows 11 og Windows Server 2022/2025 før oppdaterte bygg .

ShieldBreak: Angrepet som hevder å omgå Microsofts egen lapp

Den 12. august 2026 – dagen etter Patch Tuesday – publiserte forskeren Nightmare Eclipse (også kjent som Chaotic Eclipse) et proof-of-concept-angrep kalt ShieldBreak . Ifølge forskeren er ShieldBreak en fullstendig omgåelse av Microsofts julilapp for CVE-2026-50656 («RoguePlanet»), et race-condition-forhøyelsesproblem i Microsoft Defender Malware Protection Engine (mpengine.dll) .

Hva ShieldBreak gjør

ShieldBreak gir angivelig NT AUTHORITY\SYSTEM-rettigheter på fullt oppdaterte Windows 10-, Windows 11- og Windows Server-systemer . Angrepet bruker en annen angrepsvei enn forgjengeren: Mens RoguePlanet utnyttet et race condition i filsystemet som involverte virtuelle disker, kobler ShieldBreak inn i brukermodus-kall tilbake til systemet for å endre filinnhold under Defenders skyskanning via Windows Cloud Filter API (cfapi) . Forskeren oppga at proof-of-concept-angrepet har en «100 % suksessrate» på Windows 11 25H2 og Windows Server 2025 .

Status per i dag

Enkelte analytikere bemerket at Microsoft muligens allerede har tettet omgåelsesvektoren i stillhet . Per publiseringstidspunktet for ShieldBreak forelå det imidlertid ingen offisiell Microsoft-lapp som tettet omgåelsen . Uavhengige forskere, deriblant Howler Cell, bekreftet vellykket reproduksjon på en fullt oppdatert Windows 11 Pro-vert .

Den bredere opptrappingen: Nightmare Eclipse vs. Microsoft

ShieldBreak-publiseringen er det siste kapittelet i en eskalerende konflikt mellom Microsoft og den anonyme forskeren Nightmare Eclipse.

Ni nullpunktsproblemer siden april 2026

Siden april 2026 har Nightmare Eclipse offentliggjort ni nullpunktsangrep, inkludert tidligere feil kalt RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma og MiniPlasma . Tre av disse – BlueHammer, RedSun og UnDefend – ble bekreftet utnyttet i ville og lagt til CISA KEV-katalogen (Known Exploited Vulnerabilities) .

Microsofts juridiske trusler og tilbakeslag

Den 27. mai 2026 publiserte Microsoft Security Response Center (MSRC) et innlegg som truet med straffeforfølgelse av forskeren . Microsoft deaktiverte også forskerens kontoer på GitHub (eid av Microsoft) og GitLab . Dette utløste et stort tilbakeslag fra sikkerhetsmiljøet . Innen 1. juni 2026 trakk Microsoft delvis tilbake truslene sine, og presiserte offentlig at de «ikke har til hensikt å forfølge saker mot enkeltpersoner som utfører eller publiserer sin sikkerhetsforskning» .

Fortsatt publisering til tross for truslene

Nightmare Eclipse har fortsatt å publisere nullpunktsangrep gjennom hele konflikten, og ShieldBreak kom umiddelbart etter august-oppdateringen . Forskeren hevder at tidligere rapporter om sårbarheter via Microsofts offisielle kanaler ble ignorert, noe som motiverte de offentlige publiseringene .

Viktige punkter for IT-administratorer

1. Lapp CVE-2026-68820 først – nullpunktsproblemet i WinSock-driveren blir aktivt utnyttet i ville .
2. Prioriter CVE-2026-62832 (LegacyHive) – selv om den ennå ikke er utnyttet, vurderer Microsoft utnyttelse som «Mer sannsynlig», og offentlig PoC-kode finnes .
3. ShieldBreak-situasjonen er fortsatt flytende – Microsoft kan ha tettet omgåelsesvektoren i stillhet, men ingen offisiell bekreftelse eller lapp er sluppet . Administratorer bør følge med på oppdateringer av Microsoft Defender Malware Protection Engine.
4. Nightmare Eclipse-kampanjen pågår – ni nullpunktsproblemer er publisert siden april 2026, og flere kan komme .