2026年8月Patch Tuesday的規模

Microsoft 修補了遍佈Windows、Office、Azure、Exchange、SharePoint及其他產品的398至421個漏洞 。各來源的CVE統計數字略有不同：

• SANS ISC： 418個CVE，62個重大
• Tenable： 398個CVE，42個重大
• CrowdStrike： 415個CVE，62個重大
• Splashtop： 421個CVE
• BleepingComputer： 約400個缺陷，3個零時差漏洞

所有主要來源都同意總數「約為400個」漏洞 。

已在野外遭利用的零時差漏洞：CVE-2026-68820

Microsoft 確認唯一一個已在野外遭利用的零時差漏洞是CVE-2026-68820，這是一個存在於Windows Ancillary Function Driver for WinSock（afd.sys）中的權限提升漏洞 。Automox將此驅動程式描述為「驅動幾乎每個端點上Windows socket連線的幕後功臣」 。此漏洞允許已在本機通過身分驗證的攻擊者在受影響的系統上取得SYSTEM等級的存取權限 。

LegacyHive（CVE-2026-62832）：公開揭露的Windows使用者設定檔服務缺陷

CVE-2026-62832（公開代號為「LegacyHive」）是Windows使用者設定檔服務中的一個權限提升漏洞，起因是在檔案存取前不當解析連結（CWE-59） 。Microsoft 將其評為「重要」（Important），CVSS分數為7.8，並評估遭利用的可能性為「較可能」（More Likely） 。

LegacyHive 如何運作

已通過身分驗證、且擁有另一個本機帳戶憑證的攻擊者，可以執行一個特製應用程式來載入其他使用者的登錄檔（registry hive），進而可能取得管理員權限 。此缺陷影響已修補版本之前的 Windows 10、Windows 11 以及 Windows Server 2022/2025 。

ShieldBreak：宣稱能繞過微軟自家修補的攻擊程式

2026年8月12日——也就是Patch Tuesday的隔天——研究人員 Nightmare Eclipse（也稱為Chaotic Eclipse）發布了一個名為 ShieldBreak 的概念驗證攻擊程式 。根據該研究人員的說法，ShieldBreak 能完全繞過微軟在2026年7月對 CVE-2026-50656（「RoguePlanet」）的修補，後者是Microsoft Defender惡意軟體防護引擎（mpengine.dll）中的一個競爭條件權限提升缺陷 。

ShieldBreak 的作用

ShieldBreak 據稱能在已完全更新的 Windows 10、Windows 11 及 Windows Server 系統上授予 NT AUTHORITY\SYSTEM 權限 。此攻擊程式採用了與前身不同的攻擊路徑：RoguePlanet 利用的是涉及虛擬磁碟的檔案系統競爭條件，而 ShieldBreak 則是鉤住使用者模式回呼，在Defender透過Windows Cloud Filter API（cfapi）進行雲端實例化掃描期間，改變檔案內容 。該研究人員表示，這個概念驗證程式在 Windows 11 25H2 和 Windows Server 2025 上達到了「100%的成功率」 。

當前狀態

一些分析師指出，Microsoft 可能已經默默地修補了這個繞過路徑 。然而，截至ShieldBreak發布之時，微軟尚未推出正式修補程式來堵住這個繞過漏洞 。包含Howler Cell在內的獨立研究人員，已在一個完全修補的 Windows 11 Pro 主機上證實成功重現此攻擊 。

全面升級：Nightmare Eclipse 對抗 Microsoft

ShieldBreak 的發布，是匿名研究人員 Nightmare Eclipse 與 Microsoft 之間日益激烈的爭端中最新的篇章。

自2026年4月以來的九個零時差漏洞

自 2026年4月 以來，Nightmare Eclipse 已公開揭露了 九個零時差漏洞攻擊程式，包括先前命名為 RedSun、UnDefend、BlueHammer、YellowKey、GreenPlasma 和 MiniPlasma 的缺陷 。其中三個——BlueHammer、RedSun 和 UnDefend——已確認在野外被利用，並被加入CISA已知遭利用漏洞目錄（KEV） 。

Microsoft 的法律威脅與反彈

2026年5月27日，Microsoft 安全回應中心（MSRC）發布了一篇文章，威脅要對該研究人員提起刑事訴訟 。Microsoft 也關閉了該研究人員在GitHub（微軟所有）和GitLab上的帳號 。此舉引發了安全社群的強烈反彈 。到 2026年6月1日，Microsoft 部分收回了其威脅，公開澄清它「無意對進行或發布其安全研究的個人採取行動」 。

不顧威脅持續發布

即使在爭議期間，Nightmare Eclipse 仍持續發布零時差漏洞攻擊程式，而 ShieldBreak 正是在2026年8月Patch Tuesday發布後隨即登場 。該研究人員聲稱，先前透過官方管道提交的漏洞報告遭到微軟忽略，因此才促使他進行公開揭露 。

給IT管理員的重點提示

1. 優先修補 CVE-2026-68820——WinSock驅動程式的零時差漏洞已在野外被積極利用 。
2. 優先處理 CVE-2026-62832（LegacyHive）——雖然尚未被利用，但微軟評估其遭利用的可能性為「較可能」，且已有公開的概念驗證程式碼存在 。
3. ShieldBreak 的狀況仍在發展中——Microsoft 可能已經默默地修補了繞過路徑，但尚未發布官方確認或修補程式 。管理員應監控Microsoft Defender惡意軟體防護引擎的更新。
4. Nightmare Eclipse 的攻勢仍在持續——自2026年4月以來已發布九個零時差漏洞，未來可能會有更多 。

2026年8月Patch Tuesday的規模

Microsoft 修補了遍佈Windows、Office、Azure、Exchange、SharePoint及其他產品的398至421個漏洞 。各來源的CVE統計數字略有不同：

• SANS ISC： 418個CVE，62個重大
• Tenable： 398個CVE，42個重大
• CrowdStrike： 415個CVE，62個重大
• Splashtop： 421個CVE
• BleepingComputer： 約400個缺陷，3個零時差漏洞

所有主要來源都同意總數「約為400個」漏洞 。

已在野外遭利用的零時差漏洞：CVE-2026-68820

Microsoft 確認唯一一個已在野外遭利用的零時差漏洞是CVE-2026-68820，這是一個存在於Windows Ancillary Function Driver for WinSock（afd.sys）中的權限提升漏洞 。Automox將此驅動程式描述為「驅動幾乎每個端點上Windows socket連線的幕後功臣」 。此漏洞允許已在本機通過身分驗證的攻擊者在受影響的系統上取得SYSTEM等級的存取權限 。

LegacyHive（CVE-2026-62832）：公開揭露的Windows使用者設定檔服務缺陷

CVE-2026-62832（公開代號為「LegacyHive」）是Windows使用者設定檔服務中的一個權限提升漏洞，起因是在檔案存取前不當解析連結（CWE-59） 。Microsoft 將其評為「重要」（Important），CVSS分數為7.8，並評估遭利用的可能性為「較可能」（More Likely） 。

LegacyHive 如何運作

已通過身分驗證、且擁有另一個本機帳戶憑證的攻擊者，可以執行一個特製應用程式來載入其他使用者的登錄檔（registry hive），進而可能取得管理員權限 。此缺陷影響已修補版本之前的 Windows 10、Windows 11 以及 Windows Server 2022/2025 。

ShieldBreak：宣稱能繞過微軟自家修補的攻擊程式

2026年8月12日——也就是Patch Tuesday的隔天——研究人員 Nightmare Eclipse（也稱為Chaotic Eclipse）發布了一個名為 ShieldBreak 的概念驗證攻擊程式 。根據該研究人員的說法，ShieldBreak 能完全繞過微軟在2026年7月對 CVE-2026-50656（「RoguePlanet」）的修補，後者是Microsoft Defender惡意軟體防護引擎（mpengine.dll）中的一個競爭條件權限提升缺陷 。

ShieldBreak 的作用

ShieldBreak 據稱能在已完全更新的 Windows 10、Windows 11 及 Windows Server 系統上授予 NT AUTHORITY\SYSTEM 權限 。此攻擊程式採用了與前身不同的攻擊路徑：RoguePlanet 利用的是涉及虛擬磁碟的檔案系統競爭條件，而 ShieldBreak 則是鉤住使用者模式回呼，在Defender透過Windows Cloud Filter API（cfapi）進行雲端實例化掃描期間，改變檔案內容 。該研究人員表示，這個概念驗證程式在 Windows 11 25H2 和 Windows Server 2025 上達到了「100%的成功率」 。

當前狀態

一些分析師指出，Microsoft 可能已經默默地修補了這個繞過路徑 。然而，截至ShieldBreak發布之時，微軟尚未推出正式修補程式來堵住這個繞過漏洞 。包含Howler Cell在內的獨立研究人員，已在一個完全修補的 Windows 11 Pro 主機上證實成功重現此攻擊 。

全面升級：Nightmare Eclipse 對抗 Microsoft

ShieldBreak 的發布，是匿名研究人員 Nightmare Eclipse 與 Microsoft 之間日益激烈的爭端中最新的篇章。

自2026年4月以來的九個零時差漏洞

自 2026年4月 以來，Nightmare Eclipse 已公開揭露了 九個零時差漏洞攻擊程式，包括先前命名為 RedSun、UnDefend、BlueHammer、YellowKey、GreenPlasma 和 MiniPlasma 的缺陷 。其中三個——BlueHammer、RedSun 和 UnDefend——已確認在野外被利用，並被加入CISA已知遭利用漏洞目錄（KEV） 。

Microsoft 的法律威脅與反彈

2026年5月27日，Microsoft 安全回應中心（MSRC）發布了一篇文章，威脅要對該研究人員提起刑事訴訟 。Microsoft 也關閉了該研究人員在GitHub（微軟所有）和GitLab上的帳號 。此舉引發了安全社群的強烈反彈 。到 2026年6月1日，Microsoft 部分收回了其威脅，公開澄清它「無意對進行或發布其安全研究的個人採取行動」 。

不顧威脅持續發布

即使在爭議期間，Nightmare Eclipse 仍持續發布零時差漏洞攻擊程式，而 ShieldBreak 正是在2026年8月Patch Tuesday發布後隨即登場 。該研究人員聲稱，先前透過官方管道提交的漏洞報告遭到微軟忽略，因此才促使他進行公開揭露 。

給IT管理員的重點提示

1. 優先修補 CVE-2026-68820——WinSock驅動程式的零時差漏洞已在野外被積極利用 。
2. 優先處理 CVE-2026-62832（LegacyHive）——雖然尚未被利用，但微軟評估其遭利用的可能性為「較可能」，且已有公開的概念驗證程式碼存在 。
3. ShieldBreak 的狀況仍在發展中——Microsoft 可能已經默默地修補了繞過路徑，但尚未發布官方確認或修補程式 。管理員應監控Microsoft Defender惡意軟體防護引擎的更新。
4. Nightmare Eclipse 的攻勢仍在持續——自2026年4月以來已發布九個零時差漏洞，未來可能會有更多 。