微軟8月Patch Tuesday大規模修補：WinSock零日漏洞已被攻擊，ShieldBreak技術繞過舊修補程式

2026年8月Patch Tuesday嘅規模

微軟今次修補咗介乎398至421個漏洞，涵蓋Windows、Office、Azure、Exchange、SharePoint同其他產品 。唔同來源報告嘅CVE數字有啲出入：

• SANS ISC: 418個CVE，其中62個係嚴重
• Tenable: 398個CVE，其中42個係嚴重
• CrowdStrike: 415個CVE，其中62個係嚴重
• Splashtop: 421個CVE
• BleepingComputer: 大約400個漏洞，包括3個零日

所有主要來源都同意總數大約係400個漏洞 。

正在被利用嘅零日漏洞：CVE-2026-68820

微軟確認正喺現實世界中被利用嘅零日漏洞係CVE-2026-68820，一個影響Windows Ancillary Function Driver for WinSock（afd.sys）嘅權限提升漏洞 。Automox將呢個漏洞形容爲「實際上每個端點都喺度用嘅Windows Socket連接嘅驅動程式」 。呢個漏洞容許本機已通過驗證嘅攻擊者喺受影響系統上獲得SYSTEM權限 。

LegacyHive（CVE-2026-62832）：公開披露嘅Windows用戶設定檔服務漏洞

CVE-2026-62832，公開稱爲「LegacyHive」，係一個影響Windows用戶設定檔服務嘅權限提升漏洞，源於喺檔案存取之前不當嘅鏈結解析（CWE-59） 。微軟將佢評爲重要等級，CVSS分數7.8，並評估利用可能性爲「更有可能」 。

LegacyHive嘅運作方式

一個已通過驗證嘅攻擊者，如果有第二個本機帳戶嘅憑證，就可以執行一個特製嘅應用程式，載入另一個用戶嘅登錄檔Hive，從而可能獲得管理員權限 。呢個漏洞影響Windows 10、Windows 11同Windows Server 2022/2025未更新嘅版本 。

ShieldBreak：聲稱可以繞過微軟自己修補程式嘅攻擊技術

2026年8月12日——Patch Tuesday嘅第二日——研究員Nightmare Eclipse（又名Chaotic Eclipse）發布咗一個概念驗證攻擊技術，叫做ShieldBreak 。根據呢位研究員嘅講法，ShieldBreak係一個完全繞過微軟2026年7月爲CVE-2026-50656（「RoguePlanet」）修補嘅方法，呢個漏洞係一個影響**Microsoft Defender惡意軟件防護引擎（mpengine.dll）**嘅競爭條件（Race Condition）權限提升漏洞 。

ShieldBreak嘅作用

ShieldBreak據報道可以喺完全更新嘅Windows 10、Windows 11同Windows Server系統上獲得NT AUTHORITY\SYSTEM權限 。呢個攻擊技術用咗一個同之前唔同嘅路徑：RoguePlanet利用嘅係涉及虛擬磁碟嘅檔案系統競爭條件，而ShieldBreak就通過Windows Cloud Filter API（cfapi）鉤住（hook）用戶模式嘅回調函數，喺Defender嘅雲端水化掃描（cloud-hydration scan）期間更改檔案內容 。呢位研究員話呢個概念驗證攻擊技術喺Windows 11 25H2同Windows Server 2025上達到「100%成功率」 。

目前狀況

有啲分析員指出微軟可能已經靜雞雞噉修補咗呢個繞過途徑 。不過，截至ShieldBreak發布嘅時候，微軟仲未提供官方修補程式嚟堵塞呢個繞過方法 。獨立研究員，包括Howler Cell，已經確認成功喺完全更新嘅Windows 11 Pro主機上重現咗呢個攻擊 。

更大規模嘅升級：Nightmare Eclipse對抗微軟

ShieldBreak嘅發布係微軟同匿名研究員Nightmare Eclipse之間不斷升級嘅爭議嘅最新一章。

由2026年4月以嚟嘅9個零日漏洞

由2026年4月開始，Nightmare Eclipse已經公開披露咗9個零日攻擊技術，包括之前叫做RedSun、UnDefend、BlueHammer、YellowKey、GreenPlasma同MiniPlasma嘅漏洞 。其中三個——BlueHammer、RedSun同UnDefend——已經被確認喺現實世界中被利用，並被加入咗CISA已知被利用漏洞（KEV）目錄 。

微軟嘅法律威脅同反彈

2026年5月27日，微軟安全響應中心（MSRC）發布咗一篇網誌，威脅要對呢位研究員提出刑事訴訟 。微軟亦都停用咗呢位研究員喺GitHub（微軟擁有）同GitLab上嘅帳戶 。呢個舉動引發咗安全社群嘅強烈反彈 。到咗2026年6月1日，微軟部分收返咗佢嘅威脅，公開澄清佢「無意對進行或發布其安全研究嘅個人採取行動」 。

無視威脅繼續發布

儘管受到威脅，Nightmare Eclipse仍然繼續發布零日攻擊技術，ShieldBreak就係喺2026年8月Patch Tuesday發布之後立即出現 。呢位研究員聲稱之前通過微軟官方渠道提交嘅漏洞報告被無視，所以先至會公開披露 。

IT管理員嘅重點事項

1. 優先修補CVE-2026-68820——WinSock驅動程式零日漏洞正喺現實世界中被利用 。
2. 優先處理CVE-2026-62832（LegacyHive）——雖然未被利用，但微軟評估利用可能性爲「更有可能」，而且公開嘅概念驗證攻擊碼已經出現 。
3. ShieldBreak嘅情況仍然未明朗——微軟可能已經靜雞雞噉修補咗呢個繞過途徑，但仲未有官方確認或修補程式 。管理員應該留意Microsoft Defender惡意軟件防護引擎嘅更新。
4. Nightmare Eclipse嘅活動仍然持續——由2026年4月以嚟已經發布咗9個零日攻擊技術，可能仲會有更多 。