ShieldBreak曝光：一個零日漏洞點燃研究員與微軟嘅全面戰爭

2026年8月12日，喺微軟發布每月Patch Tuesday安全更新之後幾個鐘頭，安全研究員Nightmare Eclipse就發布咗一個叫ShieldBreak嘅概念驗證漏洞。呢個係Microsoft Defender入面嘅一個本地權限提升零日漏洞，容許已經喺Windows系統入面有低級權限嘅攻擊者提升到最高嘅SYSTEM級別。呢個漏洞喺微軟認為「完全修補」嘅系統上都行得郁，而微軟到依家都未出修補程式。

ShieldBreak唔係一個獨立嘅漏洞。佢係一場越嚟越公開嘅對抗嘅最新章節：一邊係微軟，另一邊係一班覺得自己嘅漏洞報告被忽視、被否認、甚至被法律威脅對待嘅安全研究社群。

ShieldBreak點運作：Hook Defender嘅最高權限程序

呢個漏洞喺Microsoft Defender防惡意軟件服務（MsMpEng） 入面，呢個服務本身以 NT AUTHORITY\SYSTEM 權限運行——即係Windows系統入面最高級別嘅權限。技術細節如下：

• 根本原因：ShieldBreak完全繞過微軟2026年7月嘅修補程式，呢個補丁本來係修復另一個由同一個研究員揭露嘅Defender漏洞 RoguePlanet（CVE-2026-50656）。微軟嘅修補程式只係封咗一條特定嘅攻擊路徑，但冇解決Defender權限程序入面嘅結構性弱點。
• 攻擊機制：ShieldBreak唔再用RoguePlanet嗰種檔案系統競賽條件攻擊，而係hook Defender程序入面嘅一個用戶模式回呼。佢透過 Cloud Filter API（cfapi） 嚟操控Defender嘅雲端補水掃描——呢個係Defender用嚟從雲端攞檔案掃描嘅功能。喺掃描嘅準確時機改動檔案內容，呃Defender用SYSTEM權限去執行任意程式碼。
• 需要用戶互動：呢個唔係一個遠端程式碼執行漏洞。攻擊者必須先喺目標機上面有低級權限嘅執行能力（例如透過惡意軟件、惡意腳本或者冇權限嘅應用程式）。ShieldBreak係將呢個立足點升級做完整SYSTEM權限。
• 成功率：研究員聲稱喺Windows 11 25H2同Windows Server 2025上有100%成功率，而著名安全研究員Will Dormann同Kevin Beaumont都已經獨立確認咗呢個漏洞。

受影響嘅Windows版本

ShieldBreak喺截至2026年8月Patch Tuesday嘅「完全修補」系統上都有用，即係無現有嘅微軟更新可以阻擋到。受影響版本包括：

作業系統	狀態
Windows 10	受影響（所有完全修補版本）
Windows 11	受影響，包括最新嘅25H2版本同Canary頻道
Windows Server 2025	受影響

呢個漏洞需要Microsoft Defender開住先用到。

同RoguePlanet（CVE-2026-50656）嘅關係

• RoguePlanet係一個Defender權限提升漏洞（CVSS 7.8——微軟評為「較可能被利用」），Nightmare Eclipse喺2026年6月9日以零日方式公開披露。微軟喺2026年7月Patch Tuesday推出修補程式。
• ShieldBreak係功能上繞過咗呢個修補程式。佢唔係引入一個完全唔同嘅漏洞類別，而係透過另一條程式碼路徑，攻擊返同一個喺Microsoft惡意軟件防護引擎入面嘅根本弱點。業界普遍認為微軟嘅修補只係表面工夫，唔係根治問題。

零日狀態：仍然冇修補程式

• ShieldBreak係一個未修補嘅零日漏洞。 微軟喺2026年8月Patch Tuesday冇推出任何修補程式。
• 微軟確認咗呢個漏洞，話正積極調查，但冇承諾幾時出修補。值得注意的是，微軟冇即時質疑呢個繞過嘅有效性。
• 幾個安全供應商（Tanium、Security Arsenal）已經發布咗第三方緩解指引——例如強化Defender嘅設定同限制低權限帳號——但呢啲都只係權宜之計，唔係正式修補。

更大嘅背景：研究員 vs 微軟

一場長期嘅糾紛

Nightmare Eclipse同微軟之間嘅公開摩擦已經好有歷史。呢位研究員話微軟多次忽視、否認或者拖延處理佢嘅漏洞報告。ShieldBreak係佢第九個公開披露嘅Windows零日漏洞，令佢成為最多產嘅獨立Windows漏洞獵人之一。

法律威脅

喺2026年7月底，微軟嘅法律團隊向Nightmare Eclipse發送咗威脅信，警告如果佢繼續喺微軟嘅協調式漏洞披露（CVD）計劃之外公開披露漏洞，會採取法律行動。但呢位研究員最終都係發布咗ShieldBreak，刻意揀喺2026年8月Patch Tuesday之後幾個鐘頭發布，目的係要將影響最大化。

安全社群對微軟嘅譴責

整個安全社群對微軟嘅法律立場有強烈批評。主要觀點包括：

• 獨立確認：研究員Will Dormann同Kevin Beaumont確認咗ShieldBreak係行得通嘅，證明微軟嘅修補程式唔足夠。
• 批評法律威脅：用訴訟嚟威脅獨立研究員——而唔係好好修復漏洞——被視為適得其反，會損害信任。
• 單方面嘅CVD政策：微軟嘅披露政策被認為係單方面嘅，研究員如果唔跟佢哋嘅時間表或者方式，就會面臨法律恐嚇，就算佢哋嘅報告係準確嘅都一樣。
• 「鬧報信人」：幾個媒體將微軟嘅做法形容為怪責報信人，而唔係解決Defender權限結構入面嘅系統性問題。

重點總結

ShieldBreak唔單止係一個漏洞。佢係微軟嘅「補丁加律師」策略同安全研究社群之間日益激烈嘅對抗嘅最新衝突點。呢個研究社群越嚟越覺得，公開披露係迫使微軟做真正修補嘅唯一方法。截至2026年8月14日，仲未有修補程式，而微軟對研究員嘅法律立場已經引嚟整個業界嘅嚴厲批評。