Zero-Day ShieldBreak: Новая уязвимость в Microsoft Defender и конфликт с сообществом безопасности

Как работает ShieldBreak: Перехват SYSTEM-процесса Defender

Уязвимость находится в антивирусном сервисе Microsoft Defender (MsMpEng), который работает как NT AUTHORITY\SYSTEM — с наивысшим уровнем доступа в системе Windows . Вот технический механизм:

• Основная причина: ShieldBreak — это полный обход июльского патча Microsoft для уязвимости CVE-2026-50656, известной как RoguePlanet. Этот эксплойт, также обнаруженный Nightmare Eclipse, был опубликован ранее. Патч Microsoft закрыл один конкретный путь эксплуатации, но не исправил основную архитектурную слабость в привилегированном процессе Defender .
• Механизм эксплойта: Вместо того чтобы повторно использовать атаку с состоянием гонки файловой системы, как в RoguePlanet, ShieldBreak перехватывает callback в пользовательском режиме в процессе Defender. Он манипулирует содержимым файла во время облачного сканирования (cloud-hydration scan) через Cloud Filter API (cfapi) — функцию, которую Defender использует для загрузки и сканирования файлов из облака. Изменяя файл в нужный момент во время этого сканирования, эксплойт заставляет Defender выполнить произвольный код на уровне INTEGRITY SYSTEM .
• Требует действий пользователя: Это не удалённая уязвимость. Атакующий должен уже иметь возможность выполнять низкоуровневый код на целевой машине (например, через вредоносное ПО, вредоносный скрипт или непривилегированное приложение). ShieldBreak затем повышает этот уровень до полного доступа SYSTEM .
• Заявленный процент успеха: Исследователь утверждает, что эксплойт имеет 100% успешность на Windows 11 25H2 и Windows Server 2025. Его действие независимо подтвердили известные исследователи безопасности Уилл Дорманн (Will Dormann) и Кевин Бомонт (Kevin Beaumont) .

Затрагиваемые версии Windows

ShieldBreak работает на «полностью обновлённых» системах по состоянию на августовский Patch Tuesday 2026 года, то есть ни одно из существующих обновлений Microsoft не блокирует его. Затрагиваемые версии включают :

Для успешной эксплуатации требуется, чтобы Microsoft Defender был активен .

Связь с RoguePlanet (CVE-2026-50656)

• RoguePlanet была уязвимостью повышения привилегий в Defender (CVSS 7.8, оценка «Эксплуатация более вероятна» от Microsoft), которую Nightmare Eclipse раскрыл как zero-day 9 июня 2026 года . Microsoft выпустила патч для неё в июльском цикле Patch Tuesday 2026 .
• ShieldBreak является функциональным обходом этого патча. Он не вводит новый класс ошибок, а достигает той же базовой слабости в Microsoft Malware Protection Engine, которую выявил RoguePlanet, но через другой путь кода . Оценка сообщества заключается в том, что исправление Microsoft было поверхностным, а не устранением первопричины .

Статус Zero-Day: Патча пока нет

• ShieldBreak — это неисправленный zero-day. Microsoft не выпустила исправление в августовском цикле Patch Tuesday 2026 .
• Microsoft подтвердила уязвимость и заявила, что активно расследует её, но не сообщила о сроках выпуска патча . Примечательно, что Microsoft не оспаривала действительность обхода .
• Некоторые вендоры в области безопасности (Tanium, Security Arsenal) опубликовали сторонние рекомендации по смягчению последствий — такие как усиление конфигурации Defender и ограничение низкопривилегированных учётных записей, — но это лишь обходные меры, а не патчи .

Широкий контекст: Исследователь против Microsoft

Долгая вражда

У Nightmare Eclipse есть задокументированная история публичных трений с Microsoft по поводу политики отчётности и раскрытия информации об ошибках. Исследователь утверждает, что Microsoft неоднократно игнорировала, отклоняла или затягивала отчёты об уязвимостях . ShieldBreak — это девятое публичное раскрытие zero-day уязвимости Windows этим исследователем, что делает его одним из самых плодовитых независимых охотников за ошибками Windows .

Юридическая угроза

В конце июля 2026 года юридический отдел Microsoft отправил письмо с угрозой Nightmare Eclipse, предупреждая о юридических последствиях в случае продолжения публичного раскрытия уязвимостей за пределами программы скоординированного раскрытия уязвимостей (CVD) Microsoft . Исследователь всё равно опубликовал ShieldBreak, намеренно приурочив выпуск к выпуску августовского Patch Tuesday 2026 для максимального эффекта .

Критика Microsoft со стороны сообщества безопасности

Более широкое сообщество безопасности резко раскритиковало юридическую позицию Microsoft. Ключевые моменты :

• Независимое подтверждение: Исследователи Уилл Дорманн и Кевин Бомонт подтвердили, что ShieldBreak работает, что подтвердило недостаточность патча Microsoft .
• Критика юридических угроз: Угрозы независимым исследователям судебными исками вместо исправления ошибок считаются контрпродуктивными и подрывающими доверие .
• Односторонние политики CVD: Политика раскрытия Microsoft рассматривается некоторыми как односторонняя, когда исследователи, которые выходят за рамки желаемого Microsoft графика или формата, сталкиваются с юридическим давлением, даже если их отчёты точны .
• «Обвинение гонца»: Некоторые издания охарактеризовали подход Microsoft как обвинение гонца, а не решение системных проблем в привилегированной архитектуре Defender .

Главный вывод

ShieldBreak — это не просто отдельная уязвимость. Это последняя вспышка в растущем противостоянии между стратегией Microsoft «исправляй и судись» и сообществом исследователей безопасности, которое всё чаще видит в публичном раскрытии единственный способ заставить компанию вносить существенные исправления. По состоянию на 14 августа 2026 года патча нет, а юридическая позиция Microsoft в отношении исследователя вызвала резкую критику со стороны всей отрасли .