Масштаб августовского пакета обновлений

Microsoft исправила от 398 до 421 уязвимости в Windows, Office, Azure, Exchange, SharePoint и других продуктах . Количество CVE варьируется в зависимости от источника:

• SANS ISC: 418 CVE, 62 критических
• Tenable: 398 CVE, 42 критических
• CrowdStrike: 415 CVE, 62 критических
• Splashtop: 421 CVE
• BleepingComputer: ~400 ошибок, 3 zero-day

Все основные источники сходятся на цифре «примерно 400» уязвимостей .

Активно эксплуатируемая zero-day: CVE-2026-68820

Единственная zero-day, которую Microsoft подтвердила как используемую в реальных атаках — это CVE-2026-68820, уязвимость повышения привилегий во вспомогательном драйвере Windows для WinSock (afd.sys) . Компания Automox охарактеризовала его как «драйвер, отвечающий за сокетные соединения Windows практически на каждом устройстве» . Ошибка позволяет локально аутентифицированному злоумышленнику получить доступ уровня SYSTEM на уязвимых системах .

LegacyHive (CVE-2026-62832): публично раскрытая уязвимость в службе профилей Windows

CVE-2026-62832, публично названная «LegacyHive», — это уязвимость повышения привилегий в службе профилей Windows (User Profile Service), вызванная неверным разрешением ссылок перед доступом к файлам (CWE-59) . Microsoft оценила ее как важную с баллом CVSS 7.8, а вероятность эксплуатации — как «более вероятную» .

Как работает LegacyHive

Аутентифицированный злоумышленник, имеющий учетные данные для второй локальной учетной записи, может запустить специально созданное приложение для загрузки реестра другого пользователя, что потенциально может привести к получению прав администратора . Уязвимость затрагивает Windows 10, Windows 11 и Windows Server 2022/2025 до установки патчей .

ShieldBreak: эксплойт, который, как утверждается, обходит собственный патч Microsoft

12 августа 2026 года — на следующий день после Patch Tuesday — исследователь Nightmare Eclipse (также известный как Chaotic Eclipse) опубликовал proof-of-concept эксплойт под названием ShieldBreak . По словам исследователя, ShieldBreak полностью обходит июльский патч Microsoft для уязвимости CVE-2026-50656 (известной как «RoguePlanet»), ошибки повышения привилегий с состоянием гонки в антивирусном движке Microsoft Defender (mpengine.dll) .

Что делает ShieldBreak

ShieldBreak, как сообщается, предоставляет привилегии NT AUTHORITY\SYSTEM на полностью пропатченных Windows 10, Windows 11 и Windows Server . Эксплойт использует другой путь атаки, чем его предшественник: в то время как RoguePlanet эксплуатировал состояние гонки в файловой системе с использованием виртуальных дисков, ShieldBreak перехватывает пользовательские callback-функции для изменения содержимого файлов во время облачного сканирования Defender через Windows Cloud Filter API (cfapi) . Исследователь заявил, что proof-of-concept достигает «100% успеха» на Windows 11 25H2 и Windows Server 2025 .

Текущий статус

Некоторые аналитики отметили, что Microsoft, возможно, уже незаметно закрыла этот вектор обхода . Однако на момент публикации ShieldBreak официального исправления от Microsoft, закрывающего этот обход, не было . Независимые исследователи, включая Howler Cell, подтвердили успешное воспроизведение на полностью пропатченном хосте Windows 11 Pro .

Эскалация конфликта: Nightmare Eclipse против Microsoft

Публикация ShieldBreak — это последняя глава в нарастающем споре между Microsoft и анонимным исследователем Nightmare Eclipse.

Девять zero-day с апреля 2026 года

Начиная с апреля 2026 года, Nightmare Eclipse публично раскрыл девять zero-day эксплойтов, включая более ранние ошибки под названиями RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma и MiniPlasma . Три из них — BlueHammer, RedSun и UnDefend — были подтверждены как используемые в реальных атаках и добавлены в каталог известных эксплуатируемых уязвимостей CISA (KEV) .

Юридические угрозы Microsoft и реакция сообщества

27 мая 2026 года Центр реагирования на угрозы Microsoft (MSRC) опубликовал пост с угрозами уголовного преследования в адрес исследователя . Microsoft также заблокировала учетные записи исследователя на GitHub (принадлежащем Microsoft) и GitLab . Этот шаг вызвал серьезную критику со стороны ИБ-сообщества . К 1 июня 2026 года Microsoft частично отозвала свои угрозы, публично заявив, что «не намерена преследовать лиц, проводящих или публикующих свои исследования в области безопасности» .

Продолжение публикаций, несмотря на угрозы

Nightmare Eclipse продолжает публиковать zero-day эксплойты на протяжении всего конфликта, и ShieldBreak появился сразу после августовского Patch Tuesday . Исследователь утверждает, что его предыдущие отчеты об уязвимостях, отправленные через официальные каналы Microsoft, были проигнорированы, что и побудило его к публичным раскрытиям .

Ключевые выводы для ИТ-администраторов

1. В первую очередь установите патч для CVE-2026-68820 — zero-day в драйвере WinSock уже используется в атаках .
2. Уделите приоритетное внимание CVE-2026-62832 (LegacyHive) — хотя она еще не эксплуатируется, Microsoft оценивает вероятность эксплуатации как «более вероятную», и в открытом доступе существует PoC-код .
3. Ситуация с ShieldBreak остается неопределенной — Microsoft, возможно, уже незаметно закрыла вектор обхода, но официального подтверждения или исправления выпущено не было . Администраторам следует следить за обновлениями антивирусного движка Microsoft Defender.
4. Кампания Nightmare Eclipse продолжается — с апреля 2026 года опубликовано девять zero-day, и, вероятно, последуют новые .

Масштаб августовского пакета обновлений

Microsoft исправила от 398 до 421 уязвимости в Windows, Office, Azure, Exchange, SharePoint и других продуктах . Количество CVE варьируется в зависимости от источника:

• SANS ISC: 418 CVE, 62 критических
• Tenable: 398 CVE, 42 критических
• CrowdStrike: 415 CVE, 62 критических
• Splashtop: 421 CVE
• BleepingComputer: ~400 ошибок, 3 zero-day

Все основные источники сходятся на цифре «примерно 400» уязвимостей .

Активно эксплуатируемая zero-day: CVE-2026-68820

Единственная zero-day, которую Microsoft подтвердила как используемую в реальных атаках — это CVE-2026-68820, уязвимость повышения привилегий во вспомогательном драйвере Windows для WinSock (afd.sys) . Компания Automox охарактеризовала его как «драйвер, отвечающий за сокетные соединения Windows практически на каждом устройстве» . Ошибка позволяет локально аутентифицированному злоумышленнику получить доступ уровня SYSTEM на уязвимых системах .

LegacyHive (CVE-2026-62832): публично раскрытая уязвимость в службе профилей Windows

CVE-2026-62832, публично названная «LegacyHive», — это уязвимость повышения привилегий в службе профилей Windows (User Profile Service), вызванная неверным разрешением ссылок перед доступом к файлам (CWE-59) . Microsoft оценила ее как важную с баллом CVSS 7.8, а вероятность эксплуатации — как «более вероятную» .

Как работает LegacyHive

Аутентифицированный злоумышленник, имеющий учетные данные для второй локальной учетной записи, может запустить специально созданное приложение для загрузки реестра другого пользователя, что потенциально может привести к получению прав администратора . Уязвимость затрагивает Windows 10, Windows 11 и Windows Server 2022/2025 до установки патчей .

ShieldBreak: эксплойт, который, как утверждается, обходит собственный патч Microsoft

12 августа 2026 года — на следующий день после Patch Tuesday — исследователь Nightmare Eclipse (также известный как Chaotic Eclipse) опубликовал proof-of-concept эксплойт под названием ShieldBreak . По словам исследователя, ShieldBreak полностью обходит июльский патч Microsoft для уязвимости CVE-2026-50656 (известной как «RoguePlanet»), ошибки повышения привилегий с состоянием гонки в антивирусном движке Microsoft Defender (mpengine.dll) .

Что делает ShieldBreak

ShieldBreak, как сообщается, предоставляет привилегии NT AUTHORITY\SYSTEM на полностью пропатченных Windows 10, Windows 11 и Windows Server . Эксплойт использует другой путь атаки, чем его предшественник: в то время как RoguePlanet эксплуатировал состояние гонки в файловой системе с использованием виртуальных дисков, ShieldBreak перехватывает пользовательские callback-функции для изменения содержимого файлов во время облачного сканирования Defender через Windows Cloud Filter API (cfapi) . Исследователь заявил, что proof-of-concept достигает «100% успеха» на Windows 11 25H2 и Windows Server 2025 .

Текущий статус

Некоторые аналитики отметили, что Microsoft, возможно, уже незаметно закрыла этот вектор обхода . Однако на момент публикации ShieldBreak официального исправления от Microsoft, закрывающего этот обход, не было . Независимые исследователи, включая Howler Cell, подтвердили успешное воспроизведение на полностью пропатченном хосте Windows 11 Pro .

Эскалация конфликта: Nightmare Eclipse против Microsoft

Публикация ShieldBreak — это последняя глава в нарастающем споре между Microsoft и анонимным исследователем Nightmare Eclipse.

Девять zero-day с апреля 2026 года

Начиная с апреля 2026 года, Nightmare Eclipse публично раскрыл девять zero-day эксплойтов, включая более ранние ошибки под названиями RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma и MiniPlasma . Три из них — BlueHammer, RedSun и UnDefend — были подтверждены как используемые в реальных атаках и добавлены в каталог известных эксплуатируемых уязвимостей CISA (KEV) .

Юридические угрозы Microsoft и реакция сообщества

27 мая 2026 года Центр реагирования на угрозы Microsoft (MSRC) опубликовал пост с угрозами уголовного преследования в адрес исследователя . Microsoft также заблокировала учетные записи исследователя на GitHub (принадлежащем Microsoft) и GitLab . Этот шаг вызвал серьезную критику со стороны ИБ-сообщества . К 1 июня 2026 года Microsoft частично отозвала свои угрозы, публично заявив, что «не намерена преследовать лиц, проводящих или публикующих свои исследования в области безопасности» .

Продолжение публикаций, несмотря на угрозы

Nightmare Eclipse продолжает публиковать zero-day эксплойты на протяжении всего конфликта, и ShieldBreak появился сразу после августовского Patch Tuesday . Исследователь утверждает, что его предыдущие отчеты об уязвимостях, отправленные через официальные каналы Microsoft, были проигнорированы, что и побудило его к публичным раскрытиям .

Ключевые выводы для ИТ-администраторов

1. В первую очередь установите патч для CVE-2026-68820 — zero-day в драйвере WinSock уже используется в атаках .
2. Уделите приоритетное внимание CVE-2026-62832 (LegacyHive) — хотя она еще не эксплуатируется, Microsoft оценивает вероятность эксплуатации как «более вероятную», и в открытом доступе существует PoC-код .
3. Ситуация с ShieldBreak остается неопределенной — Microsoft, возможно, уже незаметно закрыла вектор обхода, но официального подтверждения или исправления выпущено не было . Администраторам следует следить за обновлениями антивирусного движка Microsoft Defender.
4. Кампания Nightmare Eclipse продолжается — с апреля 2026 года опубликовано девять zero-day, и, вероятно, последуют новые .