ShieldBreak – nytt nolldagarsutnyttjande kringgår Microsofts patch för Windows Defender

Vad är ShieldBreak?

ShieldBreak är ett beviskoncept (PoC) för ett nolldagarsutnyttjande som släpptes den 11–12 augusti 2026. Det kringgår Microsofts patch från juli 2026 för RoguePlanet-sårbarheten (CVE-2026-50656) i Microsoft Defender. Utnyttjandet gör det möjligt för en angripare med lokal åtkomst att eskalera sina rättigheter till NT AUTHORITY\SYSTEM på fullt patchade Windows-system .

Hur kringgår det patchen?

ShieldBreak är inte en ny, orelaterad bugg – det är en direkt kringgång av patchen. Forskaren uppger att Microsoft "misslyckades med att korrekt patchade RoguePlanet-sårbarheten", och PoC-demonstrationen visar en fullständig kringgång av julilagningen . Istället för att introducera en annan exploit-klass, rapporteras ShieldBreak besegra exakt den åtgärd som Microsoft skickade för fem veckor sedan .

Vem släppte det?

Utnyttjandet släpptes av en säkerhetsforskare som använder flera alias: Nightmare Eclipse, Chaotic Eclipse, INFINITE NIGHTMARE och MSNightmare . Detta är forskarens nionde offentligt släppta Windows-nolldagarsutnyttjande .

Berörda system

ShieldBreak påverkar fullt patchade Windows 10 och Windows 11 som kör den uppdaterade versionen av Microsoft Defender Malware Protection Engine från juli 2026 . Eftersom det är en patch-kringgång förblir alla system som applicerade julilagningen för CVE-2026-50656 – och inga ytterligare åtgärder – exponerade. ShieldBreak är även testat på Windows Server 2025 och Windows 11 25H2 .

Den bredare kontexten: månader av konflikt

Nightmare Eclipse och Microsoft har varit låsta i en offentlig konfrontation om sårbarhetsrapportering i månader:

• Forskaren har upprepade gånger släppt nolldagars-PoC:er timmar efter Microsofts Patch Tuesday-uppdateringar, med tajming för att maximera pressen .
• I maj 2026 blockerade Microsoft forskaren från GitHub och GitLab och publicerade ett blogginlägg som kritiserade forskarens beteende. Forskaren svarade med att hota att släppa ytterligare nolldagar .
• Microsoft karakteriserade släppen som oansvarig avslöjande; forskaren hävdade att Microsoft var långsamma med att patchade rapporterade brister och att offentlig press var det enda effektiva verktyget .
• The Register rapporterade den 9 juli 2026 att Microsoft "tyst hade fixat" RoguePlanet, "vilket stängde det senaste hålet som exponerats av säkerhetsforskaren Nightmare Eclipse efter månader av offentlig strid" . ShieldBreak, släppt drygt en månad senare, tyder på att tvisten fortsätter.

Augusti 2026 Patch Tuesday (11 augusti 2026)

Microsofts Patch Tuesday i augusti 2026 åtgärdade cirka 400–418 sårbarheter (antalet varierar beroende på källa), inklusive 62 kritiska allvarlighetsgrader och tre nolldagar .

Aktivt utnyttjad nolldagars: CVE-2026-68820

• Komponent: Windows Ancillary Function Driver for WinSock (afd.sys), en kernel-mode-driver som hanterar socket-operationer för nästan alla nätverksanslutna Windows-processer .
• Typ: Use-after-free-sårbarhet .
• Allvarlighetsgrad: Viktig (CVSS-poäng ej tillgänglig i källor, men klassificerad som Important / Elevation of Privilege) .
• Status: Aktivt utnyttjad i det vilda vid patchningstillfället .

Två ytterligare AFD.sys-privilegieeskaleringsbuggar åtgärdades också: CVE-2026-61348 och CVE-2026-70307 . Microsofts augustirelease följde juli 2026:s rekordstora Patch Tuesday med 570 patchade sårbarheter och juni 2026:s cykel med cirka 200 patchade sårbarheter .