ShieldBreak là gì? Cách thức khai thác bỏ qua bản vá CVE-2026-50656 của Microsoft

ShieldBreak là gì?

ShieldBreak là một bằng chứng khai thác (PoC) zero-day được phát hành vào khoảng ngày 11-12 tháng 8 năm 2026. Nó được thiết kế để vượt qua bản vá của Microsoft phát hành vào tháng 7 năm 2026 cho lỗ hổng RoguePlanet (CVE-2026-50656) trong Microsoft Defender. Kẻ tấn công có quyền truy cập cục bộ vào hệ thống có thể sử dụng ShieldBreak để leo thang đặc quyền lên NT AUTHORITY\SYSTEM trên các hệ thống Windows đã được vá đầy đủ .

Cơ chế vượt qua bản vá?

ShieldBreak không phải là một lỗ hổng mới hoàn toàn, mà là một kỹ thuật vượt vá trực tiếp. Nhà nghiên cứu tuyên bố rằng Microsoft "đã thất bại trong việc vá đúng cách lỗ hổng RoguePlanet" và PoC này chứng minh khả năng vô hiệu hóa hoàn toàn bản sửa lỗi của tháng 7 . Thay vì khai thác một lớp lỗi khác, ShieldBreak được báo cáo là có thể đánh bại chính biện pháp giảm thiểu mà Microsoft đã đưa ra năm tuần trước đó .

Ai đã phát hành?

Exploit được phát hành bởi một nhà nghiên cứu bảo mật sử dụng nhiều bí danh: Nightmare Eclipse, Chaotic Eclipse, INFINITE NIGHTMARE, và MSNightmare . Đây là zero-day Windows thứ chín được công bố công khai bởi nhà nghiên cứu này .

Hệ thống bị ảnh hưởng

ShieldBreak ảnh hưởng đến các hệ thống Windows 10 và Windows 11 đã được vá đầy đủ, đang chạy phiên bản tháng 7 năm 2026 của Microsoft Defender Malware Protection Engine . Vì đây là một kỹ thuật vượt vá, bất kỳ hệ thống nào đã áp dụng bản vá tháng 7 cho CVE-2026-50656 (và không có biện pháp giảm thiểu nào khác) vẫn có nguy cơ bị tấn công.

Bối cảnh rộng hơn: Cuộc tranh cãi kéo dài nhiều tháng

Nightmare Eclipse và Microsoft đã vướng vào một cuộc đối đầu công khai về việc tiết lộ lỗ hổng bảo mật trong nhiều tháng:

• Nhà nghiên cứu này liên tục phát hành các PoC zero-day chỉ vài giờ sau bản vá Patch Tuesday của Microsoft, nhằm gây áp lực tối đa .
• Vào tháng 5 năm 2026, Microsoft đã chặn nhà nghiên cứu này trên GitHub và GitLab, đồng thời đăng một bài blog chỉ trích hành vi của họ. Đáp lại, nhà nghiên cứu đe dọa sẽ phát hành thêm nhiều zero-day khác .
• Microsoft gọi những hành động này là tiết lộ thiếu trách nhiệm; ngược lại, nhà nghiên cứu cho rằng Microsoft rất chậm chạp trong việc vá các lỗ hổng đã được báo cáo và áp lực dư luận là đòn bẩy hiệu quả duy nhất .
• The Register đưa tin vào ngày 9 tháng 7 năm 2026 rằng Microsoft đã "lặng lẽ sửa" RoguePlanet, "bịt kín lỗ hổng mới nhất do nhà nghiên cứu bảo mật Nightmare Eclipse phơi bày sau nhiều tháng công kích công khai" . Việc ShieldBreak được phát hành chỉ hơn một tháng sau đó cho thấy cuộc tranh cãi vẫn chưa có hồi kết.

Bản vá tháng 8 năm 2026 (Patch Tuesday ngày 11 tháng 8 năm 2026)

Bản vá Patch Tuesday tháng 8 năm 2026 của Microsoft đã giải quyết khoảng 400–418 lỗ hổng bảo mật (số lượng khác nhau tùy theo nguồn), bao gồm 62 lỗi nghiêm trọng và ba zero-day .

Zero-day đang bị khai thác: CVE-2026-68820

• Thành phần: Windows Ancillary Function Driver for WinSock (afd.sys), một driver ở chế độ kernel xử lý các hoạt động socket cho hầu hết các tiến trình Windows có kết nối mạng .
• Loại: Lỗ hổng use-after-free .
• Mức độ nghiêm trọng: Quan trọng (Important) / Leo thang đặc quyền .
• Trạng thái: Đang bị khai thác tích cực ngoài thực tế tại thời điểm phát hành bản vá .

Hai lỗi leo thang đặc quyền AFD.sys khác cũng đã được sửa: CVE-2026-61348 và CVE-2026-70307 . Bản phát hành tháng 8 của Microsoft diễn ra sau bản vá Patch Tuesday kỷ lục với 570 bản vá vào tháng 7 năm 2026 và chu kỳ khoảng 200 bản vá vào tháng 6 năm 2026 .