ShieldBreak: nowy zero-day w Windows Defender wstrząsa społecznością bezpieczeństwa

Jak Działa ShieldBreak: Podpięcie się do Procesu Defender na Poziomie SYSTEM

Luka znajduje się w usłudze antywirusowej Microsoft Defender (MsMpEng), która działa jako NT AUTHORITY\SYSTEM – na najwyższym poziomie uprawnień w systemie Windows . Oto mechanizm techniczny:

• Przyczyna źródłowa: ShieldBreak to całkowite ominięcie poprawki Microsoftu z lipca 2026 roku dla CVE-2026-50656, wcześniejszej luki w Defenderze znanej jako "RoguePlanet", którą ujawnił ten sam badacz . Łatka Microsoftu zamknęła jedną konkretną ścieżkę ataku, ale nie naprawiła podstawowej słabości architektonicznej w uprzywilejowanym procesie Defendera .
• Mechanizm exploita: Zamiast powtarzać atak RoguePlanet polegający na wyścigu (race condition) w systemie plików, ShieldBreak podpina się do callbacka w trybie użytkownika w procesie Defendera. Manipuluje zawartością plików podczas skanowania związanego z pobieraniem z chmury (cloud-hydration scan) za pomocą Cloud Filter API (cfapi) – funkcji, której Defender używa do pobierania i skanowania plików z chmury. Zmieniając plik w odpowiednim momencie skanowania, exploit oszukuje Defendera, by ten wykonał dowolny kod na poziomie SYSTEM .
• Wymaga interakcji użytkownika: To nie jest błąd umożliwiający zdalne wykonanie kodu. Atakujący musi już mieć możliwość wykonania kodu z niskimi uprawnieniami na docelowej maszynie (np. poprzez malware, złośliwy skrypt lub niezaufaną aplikację). ShieldBreak następnie eskaluje ten dostęp do pełnych uprawnień SYSTEM .
• Deklarowany wskaźnik skuteczności: Badacz twierdzi, że exploit działa ze 100% skutecznością na Windows 11 25H2 i Windows Server 2025, a jego działanie zostało niezależnie potwierdzone przez znanych ekspertów ds. bezpieczeństwa, Willa Dormanna i Kevina Beaumonta .

Dotknięte Wersje Windows

ShieldBreak działa na "w pełni załatanych" systemach według stanu na sierpień 2026 Patch Tuesday, co oznacza, że żadna istniejąca aktualizacja Microsoftu go nie blokuje. Dotknięte wersje obejmują :

Aby exploit zadziałał, Microsoft Defender musi być aktywnie włączony .

Związek z RoguePlanet (CVE-2026-50656)

• RoguePlanet to podatność na eskalację uprawnień w Defenderze (CVSS 7.8 – oceniona przez Microsoft jako "Bardziej prawdopodobne wykorzystanie"), którą Nightmare Eclipse ujawnił jako zero-day 9 czerwca 2026 roku . Microsoft wydał dla niej poprawkę w cyklu lipcowym Patch Tuesday 2026 .
• ShieldBreak stanowi funkcjonalne obejście tej poprawki. Nie wprowadza on zupełnie nowej klasy błędu – wykorzystuje tę samą podstawową słabość w silniku ochrony przed złośliwym oprogramowaniem Microsoftu (Microsoft Malware Protection Engine), którą ujawnił RoguePlanet, ale za pomocą innej ścieżki kodu . Społeczność ocenia, że poprawka Microsoftu była powierzchowna i nie usunęła przyczyny źródłowej .

Status Zero-Day: Wciąż Brak Poprawki

• ShieldBreak to niezałatany zero-day. Microsoft nie wydał żadnej poprawki w cyklu sierpniowym Patch Tuesday 2026 .
• Microsoft potwierdził istnienie podatności i oświadczył, że prowadzi aktywne dochodzenie, ale nie zobowiązał się do podania harmonogramu wydania łatki . Warto zauważyć, że Microsoft nie zakwestionował od razu ważności obejścia .
• Kilka firm zajmujących się bezpieczeństwem (Tanium, Security Arsenal) opublikowało zewnętrzne wskazówki dotyczące łagodzenia skutków – takie jak wzmocnienie konfiguracji Defendera czy ograniczenie kont z niskimi uprawnieniami – ale są to tylko środki zaradcze, a nie poprawki .

Szerszy Kontekst: Badacz kontra Microsoft

Długotrwały Spór

Nightmare Eclipse ma dobrze udokumentowaną historię publicznych tarć z Microsoftem w kwestii zgłaszania błędów i polityki ujawniania. Badacz twierdzi, że Microsoft wielokrotnie ignorował, odrzucał lub opóźniał zgłoszenia podatności . ShieldBreak to dziewiąte publiczne ujawnienie zero-day dla Windows autorstwa tego badacza, co czyni go jednym z najbardziej płodnych niezależnych łowców błędów w Windows .

Groźba Prawna

Pod koniec lipca 2026 roku dział prawny Microsoftu wysłał list z pogróżkami do Nightmare Eclipse, ostrzegając przed krokami prawnymi, jeśli badacz będzie nadal publicznie ujawniał podatności poza programem Microsoft Coordinated Vulnerability Disclosure (CVD) . Badacz i tak opublikował ShieldBreak, celowo wybierając moment kilka godzin po sierpniowym Patch Tuesday 2026, aby zmaksymalizować wpływ i zademonstrować swoją siłę .

Reakcja Społeczności Bezpieczeństwa

Szeroka społeczność bezpieczeństwa ostro skrytykowała postawę prawną Microsoftu. Kluczowe punkty krytyki to :

• Niezależne potwierdzenie: Badacze Will Dormann i Kevin Beaumont potwierdzili, że ShieldBreak działa, dowodząc, że poprawka Microsoftu była niewystarczająca .
• Krytyka gróźb prawnych: Grożenie niezależnym badaczom procesami sądowymi – zamiast porządnego łatania błędów – jest postrzegane jako działanie kontrproduktywne i niszczące zaufanie .
• Jednostronne zasady CVD: Zasady ujawniania podatności Microsoftu są przez niektórych postrzegane jako jednostronne – badacze, którzy wyjdą poza preferowany przez Microsoft harmonogram lub format, spotykają się z prawnym zastraszaniem, nawet jeśli ich raporty są dokładne .
• "Obwinianie posłańca": Kilka serwisów opisało podejście Microsoftu jako obwinianie posłańca zamiast rozwiązywania systemowych wad w uprzywilejowanej architekturze Defendera .

Kluczowe Wnioski

ShieldBreak to coś więcej niż pojedyncza podatność. To najnowszy punkt zapalny w narastającym konflikcie między strategią Microsoftu opartą na łataniu i grożeniu pozwami a społecznością badaczy bezpieczeństwa, która coraz częściej widzi w publicznym ujawnianiu luk jedyny sposób na wymuszenie realnych poprawek. Na dzień 14 sierpnia 2026 roku nie istnieje żadna łatka, a postawa prawna Microsoftu wobec badacza spotkała się z ostrą krytyką ze strony całej branży .