ShieldBreak 零時差漏洞：微軟 Defender 完全修補繞過，安全研究社群怒火再起

2026 年 8 月 12 日，就在微軟發布每月「Patch Tuesday」安全性更新的數小時後，一名化名為 Nightmare Eclipse 的安全研究員公開了一個名為 ShieldBreak 的概念驗證 (PoC) 攻擊程式。這是一個存在於 Microsoft Defender 中的本機權限提升 (LPE) 零時差漏洞，允許已取得目標 Windows 系統低階程式碼執行權限的攻擊者，將其權限提升至最高等級的 SYSTEM 權限。更驚人的是，這個漏洞在微軟認為「已完全修補」的系統上也能成功運作，而微軟至今尚未釋出任何修補程式 。

ShieldBreak 不僅僅是一個孤立的漏洞。它是微軟與安全研究社群之間日益公開化衝突的最新篇章。研究社群普遍認為他們的漏洞報告被忽略、駁回，甚至遭受法律威脅，而非獲得妥善的修補 。

ShieldBreak 是如何運作的：掛鉤 Defender 的 SYSTEM 級別程序

此漏洞存在於以 NT AUTHORITY\SYSTEM（Windows 系統中最高等級的存取權限）身分運行的 Microsoft Defender 反惡意軟體服務 (MsMpEng) 中 。以下是其技術機制：

• 根本原因：ShieldBreak 完全繞過了微軟在 2026 年 7 月針對 CVE-2026-50656（又名「RoguePlanet」，由同一位研究員揭露的早期 Defender 漏洞）所釋出的修補程式 。微軟的修補關閉了 RoguePlanet 特定的攻擊路徑，但未修補 Defender 特權程序中根本的架構性弱點 。
• 利用機制：不同於 RoguePlanet 使用的檔案系統競爭條件攻擊，ShieldBreak 掛鉤了 Defender 程序中的一個使用者模式回呼。它透過 雲端過濾 API (Cloud Filter API, cfapi) 在「雲端資料預先擷取 (cloud-hydration) 掃描」過程中操縱檔案內容。Defender 會使用此功能從雲端擷取並掃描檔案。攻擊者在掃描的關鍵時刻更改檔案內容，進而誘騙 Defender 以 SYSTEM 完整性等級執行任意程式碼 。
• 需要使用者互動：這不是一個遠端程式碼執行漏洞。攻擊者必須先在目標機器上取得低階程式碼執行權限（例如，透過惡意軟體、惡意腳本或一個無特權的應用程式）。ShieldBreak 接著將該立足點提升至完整的 SYSTEM 權限 。
• 回報的成功率：研究員聲稱在 Windows 11 25H2 和 Windows Server 2025 上達到 100% 的成功率，且此攻擊程式已獲得知名安全研究員 Will Dormann 和 Kevin Beaumont 的獨立驗證 。

受影響的 Windows 版本

截至 2026 年 8 月的 Patch Tuesday，ShieldBreak 能在「已完全修補」的系統上運作，代表沒有任何現有的微軟更新能夠阻止它。受影響的版本包括 ：

作業系統	狀態
Windows 10	受影響（所有已完全修補的版本）
Windows 11	受影響，包含最新 25H2 版本及 Canary 頻道
Windows Server 2025	受影響

需要注意的是，此攻擊程式需要啟用 Microsoft Defender 才能成功 。

與 RoguePlanet (CVE-2026-50656) 的關聯

• RoguePlanet 是一個 Defender 的權限提升漏洞（CVSS 評分 7.8，微軟評級為「較可能遭利用」），由 Nightmare Eclipse 於 2026 年 6 月 9 日以零時差漏洞的形式揭露 。微軟在 2026 年 7 月的 Patch Tuesday 週期中釋出了修補程式 。
• ShieldBreak 是該修補程式的功能性繞過。它並非引入一個全新的漏洞類型，而是透過不同的程式碼路徑，利用 RoguePlanet 所揭露的 Microsoft 惡意軟體保護引擎中相同的基本弱點 。社群的評估是，微軟的修補只處理了表面問題，而非從根本上解決問題 。

零時差狀態：仍未修補

• ShieldBreak 是一個未經修補的零時差漏洞。 微軟在 2026 年 8 月的 Patch Tuesday 週期中並未釋出任何相關修補 。
• 微軟已承認此漏洞，並表示正在積極調查中，但未承諾任何修補的時間表 。值得注意的是，微軟並未立即反駁此繞過方法的有效性 。
• 多家安全廠商（如 Tanium、Security Arsenal）已發布第三方緩解建議，例如強化 Defender 的配置和限制低權限帳戶。但這些僅為應急措施，並非正式的修補程式 。

更廣泛的背景：研究員 vs. 微軟

長期的恩怨

Nightmare Eclipse 與微軟在漏洞回報與揭露政策上的公開摩擦由來已久。該研究員聲稱微軟多次忽略、駁回或拖延其提交的漏洞報告 。ShieldBreak 是該研究員公開揭露的第九個 Windows 零時差漏洞，使他成為最多產的獨立 Windows 漏洞獵人之一 。

法律威脅

在 2026 年 7 月底，微軟的法律團隊向 Nightmare Eclipse 發送了一封威脅信函，警告該研究員若繼續在微軟的「協調式漏洞揭露 (CVD)」計畫架構之外公開揭露漏洞，將採取法律行動 。然而，該研究員仍選擇公佈 ShieldBreak，並刻意將時間選在 2026 年 8 月 Patch Tuesday 後的幾小時內，以期產生最大的影響 。

安全社群的強烈反彈

更廣泛的安全研究社群對微軟的法律立場提出了嚴厲批評。主要觀點包括 ：

• 獨立驗證：研究員 Will Dormann 和 Kevin Beaumont 已獨立驗證 ShieldBreak 確實有效，證實微軟的修補程式是不足的 。
• 批評法律威脅：以訴訟威脅獨立研究員，而不是正確修補漏洞，被認為是適得其反且破壞信任的行為 。
• 不對等的 CVD 政策：微軟的揭露政策被部分人士視為單方面的不對等條款，當研究員違反微軟偏好的時間表或格式時，即使他們的報告是準確的，也可能面臨法律恐嚇 。
• 指責通報者：多家媒體將微軟的處理方式形容為指責傳遞壞消息的人，而非解決 Defender 特權架構中的系統性缺陷 。

關鍵總結

ShieldBreak 不僅僅是一個漏洞。它是微軟的「修補加法律威脅」策略與安全研究社群之間日益升高的衝突的最新引爆點。該社群越來越傾向認為，只有公開揭露才是迫使微軟做出有意義的修補的唯一方法。截至 2026 年 8 月 14 日，仍然沒有修補程式可用，而微軟對研究員的法律姿態已招致來自業界各方的嚴厲譴責 。