ShieldBreak у Microsoft Defender: що відомо про вразливість без патча

ShieldBreak — це публічно розкрита вразливість підвищення привілеїв у Microsoft Malware Protection Engine, рушії перевірки, який використовує Microsoft Defender. Їй присвоєно ідентифікатор CVE-2026-69414, а оцінка становить 7,8 за CVSS, що відповідає високому рівню небезпеки. Microsoft підтвердила, що знає про проблему і готує оновлення, але станом на 19 серпня 2026 року окремого виправлення у наданих джерелах не зафіксовано.

Ризик є серйозним, але має чітке обмеження: зловмисникові зазвичай потрібен локальний доступ, автентифікований обліковий запис із низькими привілеями або можливість виконати код на пристрої. Тобто ShieldBreak — це передусім інструмент для розвитку вже наявної компрометації, а не самостійна віддалена атака без автентифікації.

Як ShieldBreak обходить виправлення RoguePlanet

Попередня вразливість RoguePlanet, CVE-2026-50656, також стосувалася підвищення привілеїв у рушії Defender. Її пов’язували з некоректним розв’язанням посилань перед доступом до файлу — категорія CWE-59. У липні Microsoft випустила виправлення, для якого як контрольну версію рушія найчастіше наводять 1.1.26060.3008.

Важливість ShieldBreak у тому, що оприлюднений експлойт описують як інший шлях атаки, який обходить липневе виправлення RoguePlanet, а не просто повторює початковий експлойт. Результат подібний: локальний користувач із низькими привілеями може отримати контекст

NT AUTHORITY\\SYSTEM

Для адміністраторів це означає важливу річ: перевірка того, що пристрій отримав липневе оновлення RoguePlanet, сама по собі не доводить, що ShieldBreak усунуто. Публічний PoC з’явився 12 серпня, а в записі Microsoft для CVE зазначено, що робота над оновленням безпеки тривала.

Які версії Windows можуть бути уразливими

Найконкретніші публічні твердження стосуються таких середовищ:

• Windows 11 25H2;
• збірки Windows 11 Canary та інших інсайдерських каналів;
• Windows Server 2025.

Дослідник, який оприлюднив PoC, заявив про 100-відсоткову успішність на цих тестових системах. Окремі незалежні повідомлення також описували відтворення експлойту на повністю оновленій Windows 11. Однак ці дані не є офіційною матрицею сумісності Microsoft і не підтверджують універсальну успішність на всіх збірках.

У повідомленнях також ідеться, що Windows 10 і відповідні серверні редакції можуть бути уразливими, хоча опублікований PoC не має повної підтримки цих систем. Це слід сприймати як оцінку дослідників, а не як підтвердження того, що кожна збірка Windows 10 або Windows Server гарантовано експлуатується.

Публічний опис Microsoft підтверджує вразливу область — Malware Protection Engine у Defender, — але в наданих матеріалах немає повного переліку уражених версій за номерами збірок.

Чи використовували ShieldBreak у реальних атаках

У наданих джерелах немає підтверджених свідчень того, що ShieldBreak застосовували у реальних атаках. Наявність публічного PoC підвищує ймовірність його аналізу як захисниками, так і зловмисниками, але не дає підстав називати експлуатацію «зафіксованою в атаках» без відповідної телеметрії, звіту реагування на інцидент або офіційної заяви розвідки загроз.

Оскільки вразливість потребує локального доступу або попереднього локального проникнення, організаціям варто насамперед перекрити попередні етапи атаки: виконання недовіреного коду, надмірні права адміністраторів, відкриті канали віддаленого керування та використання викрадених локальних облікових даних.

Що відбувається зі скануванням Defender

Паралельно повідомлялося про окрему операційну проблему після нещодавніх оновлень рушія Defender і Security Intelligence. Користувачі описували такі симптоми:

• швидке та повне сканування завершується аварійно майже наприкінці;
• Offline Scan зависає на позначці 91%;
• процес MsMpEng.exe аварійно завершується через помилки в mpengine.dll;
• у системних подіях з’являється рядок помилки 0x000005.

Найчастіше в повідомленнях фігурували версії рушія:

• 1.1.26070.7;
• 1.1.26080.2.

В одному записі Microsoft Q&A вказано платформу Defender 4.18.26070.9, рушій Malware Protection Engine 1.1.26070.7 і збій у mpengine.dll. Водночас код винятку c0000005 у цьому записі відрізняється від 0x000005, про який повідомляли інші користувачі.

В одному з матеріалів разом із цими версіями рушія згадувалися оновлення Security Intelligence 1.457.222.0, 1.457.225.0, 1.457.226.0, 1.457.227.0 і 1.457.230.0. Там також зазначалося, що перехід на 1.457.236.0 у частини користувачів усував збої. Проте цю версію не слід вважати універсальним виправленням без перевірки актуальної інформації Microsoft.

Чи спричинила реакція на ShieldBreak проблеми зі скануванням

Наявні дані свідчать про часовий і технічний зв’язок, але не доводять причинність. Збої з’явилися після пов’язаних оновлень Defender, кілька користувачів описали подібну поведінку, а журнали аварій вказують на антивірусний рушій. Водночас у наданих джерелах немає заяви Microsoft про те, що оновлення були поспішними заходами проти ShieldBreak або саме вони спричинили регресію.

Тому твердження, що Microsoft «зламала Defender, намагаючись виправити ShieldBreak», залишається правдоподібною, але неперевіреною версією. Обидві події варто відстежувати разом, адже вони стосуються однієї загальної області рушія, але не слід подавати їх як безумовно пов’язані без підтвердження Microsoft або незалежного технічного аналізу.

Чи варто відкотити оновлення Defender

Деякі повідомлення вказують, що повернення попередніх визначень Defender відновлювало сканування в окремих випадках. Це може бути корисним контрольованим діагностичним кроком, але не є безпечним універсальним рішенням. Відкат може прибрати нові детекції або проміжний захисний механізм, який Microsoft поширила через оновлення рушія чи інтелектуальних визначень.

Безпечніший підхід для організацій:

1. Підтримувати актуальними платформу Defender, рушій, інтелектуальні визначення та оновлення Windows, якщо контрольований план реагування на інцидент не вимагає іншого.
2. Перевірити стан захисту пристрою, версії рушія, платформи та Security Intelligence.
3. Спочатку тестувати будь-який відкат на ізольованих системах і заздалегідь задокументувати компенсувальні заходи.
4. Якщо сканування Defender не працює, додати незалежний сканер за запитом або шлях перевірки через EDR.
5. Повторно встановити актуальні оновлення захисту, щойно з’явиться перевірений сумісний випуск.

Як знизити ризик до виходу патча ShieldBreak

Обмежте можливості локального доступу

Використовуйте стандартні облікові записи замість адміністративних, де це можливо, приберіть зайві локальні права адміністратора, обмежте RDP і засоби віддаленого керування та не використовуйте спільні адміністративні паролі. Контроль запуску застосунків, обмеження сценаріїв і телеметрія кінцевих точок додатково зменшують імовірність того, що зловмисник скористається рушієм після первинного проникнення.

Не вимикайте Tamper Protection

Захист від втручання може перешкоджати несанкціонованій зміні конфігурації Defender. Це корисний додатковий бар’єр, але він не ремонтує вразливий шлях у рушії і не є патчем для ShieldBreak.

Використовуйте правила Attack Surface Reduction

Правила зменшення поверхні атаки можуть обмежити поширені способи запуску коду та початкового доступу — зокрема зловживання сценаріями, створення підозрілих процесів, крадіжку облікових даних і запуск дочірніх процесів Office. Вони не усувають локальну вразливість підвищення привілеїв у рушії Defender, якщо зловмисник уже може запустити PoC, тому мають доповнювати, а не замінювати контроль доступу й оновлення.

Слідкуйте за підвищенням привілеїв і збоями рушія

Командам безпеки варто відстежувати:

• несподівані процеси з рівнем SYSTEM, запущені з контексту користувача з низькими привілеями;
• підозрілі маніпуляції з посиланнями або точками повторної обробки;
• нетипові збої служб Defender;
• повторні аварійні завершення MsMpEng.exe або mpengine.dll.

Ці ознаки самі по собі не доводять експлуатацію ShieldBreak, але допомагають визначити системи, які потребують перевірки.

Обережно розглядайте сторонній захист

Якщо сканування Defender стає непридатним для роботи, перевірений сторонній захист кінцевих точок або компенсувальний сканер може зменшити залежність від цього рушія. Водночас перехід створює ризики конфігураційних прогалин, конфліктів між засобами захисту та помилок міграції. Зміну слід спочатку протестувати на пілотній групі, перевірити роботу захисту в реальному часі й телеметрії та не допускати розриву покриття.

Висновок

ShieldBreak найточніше описувати як вразливість високого рівня небезпеки в рушії Defender, яку можна експлуатувати локально. Публічний PoC уже доступний, а станом на 19 серпня 2026 року підтвердженого патча Microsoft для CVE-2026-69414 у наданих повідомленнях немає. Заявлена дослідником 100-відсоткова успішність на Windows 11 25H2, збірках Canary та Windows Server 2025 викликає занепокоєння, але залишається саме заявою дослідника, попри повідомлення про незалежне відтворення на повністю оновленій Windows 11.

Збої сканування Defender — окрема операційна проблема. Їхній час появи, повторювані повідомлення користувачів і сигнатури аварій рушія заслуговують на розслідування, але ще не доводять, що їх спричинила реакція Microsoft на ShieldBreak. Найменш ризикова позиція наразі — підтримувати актуальні оновлення захисту, обмежити локальне виконання коду та адміністративний доступ, контролювати стан Defender, додати перевірений резервний шлях сканування, а після виходу патча Microsoft швидко протестувати й розгорнути його.