ShieldBreak 漏洞：如何绕过微软补丁，让 Windows Defender 权限提升漏洞死灰复燃

谁发布了这个漏洞？

该漏洞由一位化名众多的安全研究员发布，这些别名包括 Nightmare Eclipse、Chaotic Eclipse、INFINITE NIGHTMARE 和 MSNightmare 。这已经是该研究员公开发布的第九个 Windows 零日漏洞 。

影响哪些系统？

ShieldBreak 影响了运行着 2026 年 7 月更新版 Microsoft Defender 恶意软件保护引擎的完全更新的 Windows 10 和 Windows 11 系统 。由于这是一个补丁绕过，任何应用了 CVE-2026-50656 七月补丁、但未采取进一步缓解措施的系统都仍然面临风险。

更大背景：长达数月的公开争端

Nightmare Eclipse 与微软之间关于漏洞披露的公开对峙已持续数月：

• 该研究员多次在微软“补丁星期二”发布更新后的数小时内就公布零日漏洞概念验证代码，以此最大化对微软的压力 。
• 在 2026 年 5 月，微软将该研究员从 GitHub 和 GitLab 封禁，并发表博文指责其行为。作为回应，该研究员威胁要发布更多零日漏洞 。
• 微软将此举定性为不负责任的披露行为，而研究员则辩称，微软修补已报告漏洞的速度太慢，公开施压是唯一有效的杠杆 。
• 据报道，微软在 2026 年 7 月 9 日“悄然修复”了 RoguePlanet，“在数月公开交锋后封堵了安全研究员 Nightmare Eclipse 揭示的最新漏洞” 。而大约一个月后发布的 ShieldBreak 表明，双方的争端仍在继续。

2026 年 8 月补丁星期二

在 ShieldBreak 发布的同一天，微软也推出了 2026 年 8 月的“补丁星期二”更新。此次更新修复了大约 400 到 418 个漏洞（根据来源不同，计数略有差异），其中包括 62 个严重级别漏洞和 3 个零日漏洞 。

在野利用的零日漏洞：CVE-2026-68820

本次更新中最值得关注的漏洞之一是被积极利用的 CVE-2026-68820：

• 组件： Windows 套接字（WinSock）的 Ancillary Function Driver (afd.sys)，这是一个内核模式驱动程序，为几乎所有网络化的 Windows 进程处理套接字操作 。
• 类型： Use-after-free 漏洞 。
• 严重性： 重要（CVSS 评分在来源中未提供，但被归类为重要/权限提升）。
• 状态： 在修补时已被积极利用于真实攻击中 。

此外，本次修复还包括了 AFD.sys 中的另外两个权限提升漏洞：CVE-2026-61348 和 CVE-2026-70307 。微软 8 月的更新紧随 7 月创纪录的 570 个补丁的“补丁星期二”之后 。