Microsoft серпень 2026 Patch Tuesday: LegacyHive, ShieldBreak та ескалація Nightmare Eclipse

Microsoft випустила серпневі оновлення Patch Tuesday 11 серпня 2026 року, усунувши величезну кількість вразливостей — за оцінками провідних компаній з кібербезпеки, від 398 до 421 CVE, з широким консенсусом щодо «приблизно 400» загалом . Збірка містила один нуль-день, що активно експлуатується, два публічно розкритих нуль-дні та приблизно 62 вразливості критичного рівня . За лічені години після виходу патча дослідник на псевдонім Nightmare Eclipse оприлюднив новий експлойт ShieldBreak, який, за його твердженнями, обходить власний патч Microsoft від попереднього місяця .

Масштаб серпневого патч-пакету

Microsoft виправила від 398 до 421 вразливості в Windows, Office, Azure, Exchange, SharePoint та інших продуктах . Кількість CVE варіюється залежно від джерела:

• SANS ISC: 418 CVE, 62 критичні
• Tenable: 398 CVE, 42 критичні
• CrowdStrike: 415 CVE, 62 критичні
• Splashtop: 421 CVE
• BleepingComputer: ~400 вразливостей, 3 нуль-дні

Усі основні джерела сходяться на тому, що загальна кількість становить «приблизно 400» вразливостей .

Активно експлуатований нуль-день: CVE-2026-68820

Єдиний нуль-день, який Microsoft підтвердила як такий, що використовується в реальних атаках — це CVE-2026-68820, вразливість підвищення привілеїв у драйвері допоміжних функцій Windows для WinSock (afd.sys) . Automox описала його як «драйвер, що стоїть за сокетними з'єднаннями Windows на фактично кожному кінцевому пристрої» . Помилка дозволяє локально автентифікованому зловмиснику отримати доступ рівня SYSTEM на уражених системах .

LegacyHive (CVE-2026-62832): публічно розкрита вразливість Windows User Profile Service

CVE-2026-62832, публічно названа «LegacyHive», є вразливістю підвищення привілеїв у Windows User Profile Service, що виникає через неправильне вирішення посилань перед доступом до файлу (CWE-59) . Microsoft оцінила її як Important з оцінкою CVSS 7.8, а ймовірність експлуатації визначила як «More Likely» .

Як працює LegacyHive

Автентифікований зловмисник, який має облікові дані для другого локального облікового запису, може запустити спеціально створений застосунок для завантаження реєстрового куща іншого користувача, що потенційно може призвести до отримання адміністративних привілеїв . Вразливість впливає на Windows 10, Windows 11 та Windows Server 2022/2025 до встановлення виправлених збірок .

ShieldBreak: експлойт, що обходить власний патч Microsoft

12 серпня 2026 року, наступного дня після Patch Tuesday, дослідник Nightmare Eclipse (також відомий як Chaotic Eclipse) опублікував доказ концепції експлойту під назвою ShieldBreak . За словами дослідника, ShieldBreak є повним обходом липневого патча Microsoft для CVE-2026-50656 («RoguePlanet»), який був вразливістю підвищення привілеїв через стан гонки в Microsoft Defender Malware Protection Engine (mpengine.dll) .

Що робить ShieldBreak

ShieldBreak надає привілеї NT AUTHORITY\SYSTEM на повністю оновлених Windows 10, Windows 11 та Windows Server . Експлойт використовує інший шлях атаки, ніж його попередник: в той час як RoguePlanet експлуатував файлову систему через стан гонки за допомогою віртуальних дисків, ShieldBreak перехоплює зворотні виклики користувацького режиму для зміни вмісту файлів під час хмарного сканування Defender через Windows Cloud Filter API (cfapi) . Дослідник стверджує, що доказ концепції має «100% успішність» на Windows 11 25H2 та Windows Server 2025 .

Поточний статус

Деякі аналітики зазначили, що Microsoft могла вже тихо виправити вектор обходу . Однак станом на момент публікації ShieldBreak офіційного виправлення Microsoft для закриття цього обходу не існувало . Незалежні дослідники, зокрема Howler Cell, підтвердили успішне відтворення на повністю оновленому хості Windows 11 Pro .

Ширша ескалація: Nightmare Eclipse проти Microsoft

Публікація ShieldBreak — це остання глава в конфлікті, що загострюється, між Microsoft та анонімним дослідником Nightmare Eclipse.

Дев'ять нуль-днів з квітня 2026

Починаючи з квітня 2026, Nightmare Eclipse публічно розкрив дев'ять експлойтів нуль-дня, включаючи попередні вразливості під назвами RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma та MiniPlasma . Три з них — BlueHammer, RedSun та UnDefend — були підтверджені як такі, що використовуються в реальних атаках, та додані до каталогу CISA Known Exploited Vulnerabilities (KEV) .

Юридичні погрози Microsoft та реакція

27 травня 2026 року Microsoft Security Response Center (MSRC) опублікував пост із погрозами кримінального переслідування дослідника . Microsoft також заблокувала облікові записи дослідника на GitHub (який належить Microsoft) та GitLab . Цей крок викликав значну негативну реакцію спільноти з кібербезпеки . До 1 червня 2026 Microsoft частково відкликала свої погрози, публічно уточнивши, що «не має наміру переслідувати осіб, які проводять або публікують свої дослідження безпеки» .

Продовження публікацій попри погрози

Nightmare Eclipse продовжував публікувати експлойти нуль-дня протягом усього конфлікту, а ShieldBreak з'явився одразу після виходу серпневого Patch Tuesday . Дослідник стверджує, що його попередні звіти про вразливості через офіційні канали Microsoft були проігноровані, що й мотивувало публічні розкриття .

Ключові висновки для IT-адміністраторів

1. Спершу встановіть патч для CVE-2026-68820 — нуль-день у драйвері WinSock активно експлуатується .
2. Пріоритет — CVE-2026-62832 (LegacyHive) — хоча вразливість ще не експлуатується, Microsoft оцінює ймовірність експлуатації як «More Likely», і публічний PoC-код вже існує .
3. Ситуація з ShieldBreak залишається невизначеною — Microsoft могла тихо виправити вектор обходу, але офіційного підтвердження чи виправлення не випущено . Адміністраторам слід слідкувати за оновленнями Microsoft Defender Malware Protection Engine.
4. Кампанія Nightmare Eclipse триває — з квітня 2026 було опубліковано дев'ять нуль-днів, і слід очікувати нових .