ShieldBreak – nowe zero-day w Microsoft Defender, które omija lipcową łatkę

Kto go opublikował?

Exploit został opublikowany przez badacza bezpieczeństwa występującego pod wieloma pseudonimami: Nightmare Eclipse, Chaotic Eclipse, INFINITE NIGHTMARE oraz MSNightmare . To już dziewiąty publicznie udostępniony przez niego exploit na Windows .

Które systemy są zagrożone?

ShieldBreak działa na w pełni załatanych Windows 10 i Windows 11, na których zainstalowano lipcową 2026 aktualizację silnika ochrony przed złośliwym oprogramowaniem Microsoft Defender . Ponieważ jest to obejście poprawki, każdy system, który zastosował lipcową łatkę dla CVE-2026-50656 – i nie ma żadnych dodatkowych zabezpieczeń – nadal jest narażony na atak.

Szerszy kontekst: wielomiesięczny spór

Nightmare Eclipse i Microsoft są w otwartym konflikcie dotyczącym ujawniania luk bezpieczeństwa od kilku miesięcy:

• Badacz wielokrotnie publikował exploity zero-day kilka godzin po aktualizacjach Patch Tuesday Microsoftu, aby maksymalnie zwiększyć presję na firmę .
• W maju 2026 Microsoft zablokował badaczowi konta na GitHub i GitLab, a w poście na blogu publicznie skrytykował jego działania. Badacz odpowiedział groźbą publikacji kolejnych zero-day .
• Microsoft określił te publikacje jako nieodpowiedzialne; badacz argumentował, że Microsoft zbyt wolno łata zgłoszone błędy i że publiczna presja to jedyny skuteczny środek .
• Portal The Register poinformował 9 lipca 2026, że Microsoft „po cichu załatał” RoguePlanet, „zamykając kolejną dziurę odkrytą przez badacza Nightmare Eclipse po miesiącach publicznych utarczek” . Publikacja ShieldBreak zaledwie miesiąc później dowodzi, że spór wciąż trwa.

Aktualizacje z sierpnia 2026 (Patch Tuesday 11 sierpnia 2026)

Sierpniowy Patch Tuesday Microsoftu objął około 400–418 podatności (liczba różni się w zależności od źródła), w tym 62 krytyczne luki i trzy zero-day .

Aktywnie wykorzystywane zero-day: CVE-2026-68820

• Podatny komponent: Windows Ancillary Function Driver for WinSock (afd.sys), sterownik jądra obsługujący operacje gniazd dla prawie wszystkich procesów sieciowych Windows .
• Typ luki: Use-after-free (użycie po zwolnieniu) .
• Waga: Istotna (Important), brak dostępnego wyniku CVSS w źródłach, ale sklasyfikowana jako podniesienie uprawnień .
• Status: Aktywnie wykorzystywana w atakach w momencie wydania łatki .

W ramach tej samej aktualizacji załatano również dwie inne luki w sterowniku AFD.sys: CVE-2026-61348 i CVE-2026-70307 . Sierpniowy Patch Tuesday nastąpił po rekordowym lipcu 2026 (570 poprawek) i po czerwcu 2026 (około 200 poprawek) .