ShieldBreak: как исследователь обходит исправление Microsoft для уязвимости RoguePlanet и получает полный контроль над Windows

Что такое ShieldBreak?

ShieldBreak — это proof-of-concept (PoC) эксплойт нулевого дня (zero-day), выпущенный 11–12 августа 2026 года, который обходит июльский патч 2026 года для уязвимости RoguePlanet (CVE-2026-50656) в Microsoft Defender. Он позволяет атакующему с локальным доступом повысить свои привилегии до NT AUTHORITY\ SYSTEM на полностью пропатченных системах Windows .

Как он обходит патч?

ShieldBreak — это не новая, несвязанная уязвимость, а прямой обход исправления. Исследователь заявил, что Microsoft "не смогла должным образом исправить уязвимость RoguePlanet", и PoC демонстрирует полное преодоление июльского исправления . Вместо использования другого класса эксплойтов, ShieldBreak, как сообщается, нейтрализует именно те меры защиты, которые Microsoft выпустила пятью неделями ранее .

Кто его выпустил?

Эксплойт был опубликован исследователем безопасности, использующим несколько псевдонимов: Nightmare Eclipse, Chaotic Eclipse, INFINITE NIGHTMARE и MSNightmare . Это девятый публично выпущенный zero-day эксплойт для Windows от этого исследователя .

Какие системы затронуты?

ShieldBreak поражает полностью пропатченные системы Windows 10 и Windows 11, на которых установлена обновлённая по состоянию на июль 2026 года версия механизма защиты от вредоносных программ Microsoft Defender . Поскольку это обход исправления, любая система, применившая июльское исправление для CVE-2026-50656 (и не имеющая дополнительных мер защиты), остаётся уязвимой.

Более широкий контекст: многомесячный спор

Nightmare Eclipse и Microsoft находятся в состоянии публичного противостояния из-за раскрытия уязвимостей уже несколько месяцев:

• Исследователь неоднократно публиковал PoC эксплойты zero-day спустя часы после выхода обновлений Patch Tuesday от Microsoft, выбирая время для максимизации давления .
• В мае 2026 года Microsoft заблокировала исследователя на GitHub и GitLab, а также опубликовала запись в блоге, критикуя его поведение. В ответ исследователь пригрозил выпустить новые zero-day уязвимости .
• Microsoft охарактеризовала публикации как безответственное раскрытие; исследователь же утверждал, что Microsoft медленно исправляет сообщённые ошибки и что общественное давление — единственный эффективный рычаг воздействия .
• Издание The Register сообщило 9 июля 2026 года, что Microsoft "тихо исправила" RoguePlanet, "закрыв очередную брешь, обнаруженную исследователем Nightmare Eclipse после месяцев публичных перепалок" . Выпуск ShieldBreak чуть более месяца спустя свидетельствует о том, что конфликт продолжается.

Августовский Patch Tuesday (11 августа 2026)

Августовский Patch Tuesday от Microsoft затронул примерно 400–418 уязвимостей (данные разнятся в зависимости от источника), включая 62 критические и три zero-day .

Активно эксплуатируемый zero-day: CVE-2026-68820

• Компонент: Windows Ancillary Function Driver for WinSock (afd.sys) — драйвер режима ядра, отвечающий за сетевые операции практически всех процессов в Windows .
• Тип: Уязвимость типа "использование после освобождения" (use-after-free) .
• Серьёзность: Важная (Important / Elevation of Privilege) .
• Статус: Активно эксплуатировалась в реальных атаках на момент выпуска патча .

Кроме того, были исправлены две другие ошибки повышения привилегий в том же драйвере afd.sys: CVE-2026-61348 и CVE-2026-70307 . Августовский релиз Microsoft последовал за рекордным июльским Patch Tuesday с 570 исправлениями и июньским (~200 исправлений) .