Microsoft Defender「ShieldBreak」零日漏洞：已知風險、未修補狀態及應對方法

ShieldBreak 被形容為繞過 Microsoft 早前修補的 RoguePlanet（CVE-2026-50656）。RoguePlanet 同樣位於 Defender 的 Malware Protection Engine，涉及檔案存取前連結解析不當，分類為 CWE-59。Microsoft 於 7 月發布修補，當時報道的修正版引擎基準為 1.1.26060.3008。

ShieldBreak 的重點在於，公開報道指它採取另一條利用路徑，並非單純重播 RoguePlanet 的原有攻擊方法。換句話說，裝置即使已安裝 RoguePlanet 的 7 月修補，也不能單靠檢查該版本，就認定 ShieldBreak 已經被封鎖。

PoC 於 2026 年 8 月 12 日公開，而 Microsoft 的 CVE 資料仍表示安全更新正在製作中。

哪些 Windows 版本被指可能受影響？

目前最明確的公開說法集中於：

• Windows 11 25H2；
• Windows 11 Canary 或其他 Insider 渠道版本；以及
• Windows Server 2025。

發布 PoC 的研究人員聲稱，該程式在上述測試環境達到 100% 成功率。另有獨立報道指，研究人員曾在完全更新的 Windows 11 系統重現問題。然而，這些資料並不等同於 Microsoft 已驗證的兼容性矩陣，也不代表所有版本都必然能成功利用。

報道亦指 Windows 10 及相關 Windows Server 版本可能存在漏洞，但目前公開 PoC 並未完整支援這些系統。因此，管理員應把這視為「已報道的風險評估」，而不是每一個 Windows 10 或 Windows Server 建置版本都必然可被利用的確認。

Microsoft 的公開 CVE 描述確認了受影響的產品範圍，即 Defender 使用的 Malware Protection Engine；但提供的資料沒有一份按 Windows 建置版本逐一列出的完整清單。

有沒有證據顯示 ShieldBreak 已被用於攻擊？

提供的來源沒有證據顯示 ShieldBreak 已在現實攻擊中使用。公開 PoC 會提高防守者及攻擊者分析該技術的機會，但在沒有端點遙測、事故應變報告或官方威脅情報聲明之前，不應把它描述為「已在野外被利用」。

因此，企業現階段應優先堵截攻擊者取得本機立足點的途徑，包括不受信任程式碼執行、不必要的管理員權限、暴露的遠端管理服務，以及被盜用的本機帳戶憑證。

Defender 掃描故障：發生了甚麼事？

另一邊，近期 Defender 引擎及安全情報更新後，有用戶報告掃描功能異常，包括：

• 快速掃描及完整掃描在接近完成時失敗或崩潰；
• Defender Offline Scan 卡在 91%；以及
• MsMpEng.exe 崩潰，錯誤指向 mpengine.dll，部分報道提到錯誤字串 0x000005。

報道最常提及的 Malware Protection Engine 版本包括：

• 1.1.26070.7；以及
• 1.1.26080.2。

Microsoft Q&A 的其中一宗崩潰紀錄列出 Defender 平台版本 4.18.26070.9、Malware Protection Engine 1.1.26070.7，以及涉及 mpengine.dll 的故障。不過，該紀錄中的例外代碼是 c0000005，與其他報道提及的 0x000005 並不完全相同，兩者不應混為一談。

有報道列出以下安全情報更新版本，並指它們曾與上述引擎版本一同出現問題：1.457.222.0、1.457.225.0、1.457.226.0、1.457.227.0 及 1.457.230.0。同一報道稱，部分用戶更新至 1.457.236.0 後崩潰消失，但在 Microsoft 發布最新資訊前，不應把這個結果視為對所有裝置都有效的通用修復。

是 ShieldBreak 應對措施令掃描失效嗎？

現有證據支持的是時間及技術上的相關性，而不是已確認的因果關係。掃描故障在相關 Defender 更新推出後出現，多名用戶回報相似情況，而崩潰紀錄亦指向反惡意軟件引擎。然而，提供的來源沒有 Microsoft 聲明，確認這些更新是為了倉促修補 ShieldBreak，或確認更新直接造成回歸問題。

所以，「Microsoft 修補 ShieldBreak 時整壞了 Defender」目前仍是合理但未經證實的說法。兩件事都涉及大致相同的引擎範圍，值得一併監察；但在 Microsoft 或獨立技術分析建立明確關係前，不應把兩者說成已確定有因果關係。

應否回退 Defender 定義更新？

部分報道指，回退 Defender 定義內容後，掃描功能在個別個案恢復正常。這可作為受控診斷方法，但不適合當作無條件的通用解決方案。回退可能移除較新的偵測能力，亦可能一併移除 Microsoft 透過引擎或安全情報更新提供的臨時防護。

較穩妥的做法是：

1. 除非經過受控的事故應變決定，否則維持 Defender 平台、引擎、安全情報及 Windows 更新在最新狀態。
2. 記錄裝置的 Defender 防護狀態、引擎版本、平台版本及安全情報版本。
3. 如確有需要回退，先在隔離裝置測試，並制定書面化的補償控制措施。
4. 如果 Defender 掃描失敗，加入獨立的按需掃描器或以 EDR 為基礎的掃描路徑。
5. 一旦有經驗證且兼容的新版防護更新，盡快重新套用。

在 ShieldBreak 尚未有修補程式前，管理員可以做甚麼？

減少攻擊者取得本機立足點的機會

盡量使用標準使用者帳戶，移除不必要的本機管理員權限，限制 RDP 及遠端管理工具的存取，並避免共用管理員憑證。應用程式白名單、腳本控制及端點遙測，也有助減少攻擊者由本機初始立足點觸發漏洞的機會。

保持 Tamper Protection 開啟

Tamper Protection（防篡改保護）可協助阻止未經授權的 Defender 設定更改，是有用的縱深防禦措施；但它不會修復有漏洞的引擎路徑，不能當作 ShieldBreak 的補丁。

以 Attack Surface Reduction 作額外防線

Attack Surface Reduction（ASR，攻擊面縮減）規則可限制常見的程式執行及初始入侵行為，例如濫用腳本、可疑程序建立、憑證竊取活動，以及 Office 程式啟動子程序。ASR 並不能直接修補 Defender 引擎的本機權限提升問題，因此應配合權限管理、程式控制及正式修補，而非取代它們。

監察權限提升及 Defender 崩潰

保安團隊應留意低權限使用者內容下突然出現的 SYSTEM 級程序、可疑連結或 reparse point 操作、異常 Defender 服務失效，以及 MsMpEng.exe 或 mpengine.dll 重複崩潰。這些現象本身不能證明 ShieldBreak 被利用，但可協助找出需要深入調查的裝置。

謹慎考慮第三方防護產品

如果 Defender 掃描在實務上完全不能使用，經審核的第三方端點防護產品或補償性掃描器，可能降低對這個特定引擎的暴露。不過，轉換本身會帶來設定漏洞、不同安全產品互相衝突及遷移風險。應先進行小規模試行，確認即時防護及遙測正常，並確保轉換期間沒有防護空窗。

總結

ShieldBreak 應被理解為一個高嚴重性、需要本機存取、可提升 Defender 引擎權限的漏洞。它已有公開 PoC，而截至 2026 年 8 月 19 日，提供的報道仍未顯示 Microsoft 已推出 CVE-2026-69414 的正式修補程式，也沒有證據證明漏洞已在實際攻擊中出現。

Windows 11 25H2、Canary 測試版本及 Windows Server 2025 的「100% 成功率」是研究人員聲稱，雖然已有獨立重現報道，但仍不應視為 Microsoft 對所有版本的正式確認。至於 Defender 掃描故障，時間上的吻合、用戶回報及引擎崩潰紀錄值得認真調查，卻不足以證明是 ShieldBreak 應對措施直接造成。

目前風險最低的方向，是維持最新防護更新、收緊本機執行及管理員權限、監察 Defender 健康狀況；如掃描功能失效，先部署經測試的補償性掃描路徑，而不是在未有替代防護下大規模回退定義更新。Microsoft 發布 CVE-2026-69414 修補程式後，應在驗證兼容性後盡快部署。