Zero-Day ShieldBreak у Windows Defender: новий виток війни дослідника з Microsoft

12 серпня 2026 року, за кілька годин після виходу щомісячних патчів безпеки Microsoft (Patch Tuesday), дослідник безпеки, відомий під псевдонімом Nightmare Eclipse, опублікував proof-of-concept експлойт під назвою ShieldBreak. Це zero-day вразливість локального підвищення привілеїв у Microsoft Defender, яка дозволяє атакувальнику, що вже має низькорівневий доступ до системи Windows, отримати повний контроль на рівні SYSTEM. Експлойт працює на системах, які Microsoft вважає "повністю залатаними", і компанія досі не випустила виправлення .

ShieldBreak — це не просто чергова помилка. Це останній епізод у дедалі більш публічному конфлікті між Microsoft та спільнотою дослідників безпеки, які вважають, що їхні звіти про вразливості ігноруються, відхиляються або зустрічаються юридичними погрозами, а не належними виправленнями .

Як працює ShieldBreak: перехоплення SYSTEM-процесу Defender

Вразливість міститься в антивірусній службі Microsoft Defender (MsMpEng), яка працює з правами NT AUTHORITY\SYSTEM — найвищим рівнем доступу в системі Windows . Ось технічний механізм:

• Першопричина: ShieldBreak є повним обходом липневого патчу 2026 року для CVE-2026-50656, більш ранньої вразливості Defender, відомої як "RoguePlanet", яку також виявив цей дослідник . Патч Microsoft закрив один конкретний шлях для атаки, але не усунув фундаментальну архітектурну слабкість у привілейованому процесі Defender .
• Механізм експлойту: Замість того, щоб використовувати файлову race-condition атаку RoguePlanet, ShieldBreak перехоплює callback-функцію в користувацькому режимі в процесі Defender. Він маніпулює вмістом файлу під час хмарного сканування (cloud-hydration scan) через Cloud Filter API (cfapi) — функцію, яку Defender використовує для отримання та сканування файлів з хмари. Змінюючи файл у потрібний момент цього сканування, експлойт змушує Defender виконати довільний код на рівні цілісності SYSTEM .
• Потрібна дія користувача: Це не вразливість для віддаленого виконання коду. Атакувальник спочатку повинен отримати низькорівневий доступ до цільової машини (наприклад, через шкідливе ПЗ, шкідливий скрипт або непривілейований додаток). ShieldBreak потім підвищує цей рівень доступу до повних прав SYSTEM .
• Заявлений рівень успіху: Дослідник стверджує про 100% успішність на Windows 11 25H2 та Windows Server 2025. Експлойт незалежно підтвердили відомі дослідники безпеки Вілл Дорманн та Кевін Бомонт .

Уражені версії Windows

ShieldBreak працює на "повністю залатаних" системах станом на серпневий Patch Tuesday 2026 року, тобто жодне з існуючих оновлень Microsoft не блокує його. Уражені версії включають :

Операційна система	Статус
Windows 10	Уражена (всі повністю оновлені версії)
Windows 11	Уражена, включаючи останній випуск 25H2 та канал Canary
Windows Server 2025	Уражена

Для успішної атаки необхідно, щоб Microsoft Defender був активним .

Зв'язок з RoguePlanet (CVE-2026-50656)

• RoguePlanet була вразливістю підвищення привілеїв у Defender (CVSS 7.8 — "Експлуатація є більш імовірною" за оцінкою Microsoft), яку Nightmare Eclipse оприлюднив як zero-day 9 червня 2026 року . Microsoft випустила патч для неї в рамках липневого Patch Tuesday 2026 року .
• ShieldBreak є функціональним обходом цього патчу. Він не вводить новий, не пов'язаний клас помилок — він використовує ту саму фундаментальну слабкість у Microsoft Malware Protection Engine, яку виявив RoguePlanet, але через інший шлях коду . Оцінка спільноти полягає в тому, що виправлення Microsoft було поверхневим, а не рішенням першопричини .

Статус Zero-Day: Патчу досі немає

• ShieldBreak є незалатаним zero-day. Microsoft не випустила жодного виправлення в рамках серпневого Patch Tuesday 2026 року .
• Microsoft визнала вразливість і заявила, що активно розслідує її, але не взяла на себе жодних зобов'язань щодо термінів випуску патчу . Примітно, що Microsoft одразу не заперечила дійсність обходу .
• Деякі вендори безпеки (Tanium, Security Arsenal) опублікували сторонні рекомендації щодо пом'якшення наслідків — наприклад, посилення конфігурації Defender та обмеження непривілейованих облікових записів — але це лише тимчасові заходи, а не справжні виправлення .

Ширший контекст: Дослідник проти Microsoft

Затяжний конфлікт

Nightmare Eclipse має добре задокументовану історію публічного тертя з Microsoft щодо політики звітування про помилки та їх розкриття. Дослідник стверджує, що Microsoft неодноразово ігнорувала, відхиляла або затягувала розгляд звітів про вразливості . ShieldBreak є дев'ятим публічним розкриттям zero-day вразливості Windows від цього дослідника, що робить його одним з найплідніших незалежних мисливців за помилками в Windows .

Юридична загроза

Наприкінці липня 2026 року юридичний відділ Microsoft надіслав лист із погрозами Nightmare Eclipse, попереджаючи про судовий позов, якщо дослідник продовжить публічно розкривати вразливості за межами програми Microsoft з координованого розкриття вразливостей (CVD) . Дослідник все ж опублікував ShieldBreak, навмисно розрахувавши час релізу на години після серпневого Patch Tuesday 2026, щоб максимізувати ефект .

Осуд спільноти безпеки на адресу Microsoft

Ширша спільнота кібербезпеки різко розкритикувала юридичну позицію Microsoft. Ключові моменти включають :

• Незалежне підтвердження: Дослідники Вілл Дорманн та Кевін Бомонт підтвердили, що ShieldBreak працює, тим самим підтвердивши, що патч Microsoft був недостатнім .
• Критика юридичних погроз: Погрожувати незалежним дослідникам судовими позовами замість того, щоб належним чином виправляти помилки, вважається контрпродуктивним і таким, що підриває довіру .
• Односторонні політики CVD: Політики розкриття інформації Microsoft розглядаються деякими як односторонні, де дослідники, які виходять за межі бажаного Microsoft графіку або формату, стикаються з юридичним залякуванням, навіть якщо їхні звіти є точними .
• "Звинувачення гінця": Кілька видань охарактеризували підхід Microsoft як звинувачення гінця замість вирішення системних недоліків у привілейованій архітектурі Defender .

Ключовий висновок

ShieldBreak — це більше, ніж просто одна вразливість. Це остання точка спалаху в зростаючому протистоянні між стратегією Microsoft "патч і адвокат" та спільнотою дослідників безпеки, яка дедалі більше вважає публічне розкриття єдиним способом змусити компанію робити значущі виправлення. Станом на 14 серпня 2026 року патчу не існує, а юридична позиція Microsoft щодо дослідника викликала різкий осуд з боку всієї індустрії .