Neuer Zero-Day-Exploit umgeht Microsoft-Defender-Patch unter Windows

Ein Sicherheitsforscher unter dem Pseudonym Nightmare Eclipse hat einen Proof-of-Concept-Exploit namens ShieldBreak veröffentlicht. Dieser umgeht den jüngsten Patch von Microsoft ↗ 0.52% für eine Schwachstelle zur Rechteausweitung im Windows Defender und verschafft Angreifern erneut SYSTEM-Rechte auf vollständig aktualisierten Systemen.

Ein Patch, der nicht hielt

ShieldBreak zielt auf CVE-2026-50656 ab, eine Race Condition in der Microsoft Malware Protection Engine (mpengine.dll), die der Forscher ursprünglich im Juni 2026 unter dem Namen RoguePlanet offengelegt hatte. Microsoft hat die Schwachstelle im Juli behoben, doch laut Nightmare Eclipse ist der Fix unvollständig.thehackernews+1

„Microsoft hat es versäumt, die RoguePlanet-Schwachstelle ordnungsgemäß zu beheben“, schrieb der Forscher und fügte hinzu, dass der Exploit eine „Erfolgsquote von 100 %“ auf den neuesten Versionen von Windows 11 25H2, dem Canary-Kanal und Windows Server 2025 aufweise. Auch Windows-10-Systeme sollen anfällig sein, obwohl der PoC diese derzeit noch nicht unterstützt.bleepingcomputer+1

Will Dormann, leitender Analyst für Schwachstellen bei Tharros, bestätigte am Dienstag, dass der Exploit funktioniert. Er wies darauf hin, dass der Microsoft Defender aktiviert sein muss, damit ShieldBreak die Rechte ausweiten kann.bleepingcomputer

Ein eskalierender Streit

Die Veröffentlichung ist Teil einer monatelangen Auseinandersetzung zwischen Nightmare Eclipse und Microsoft über die Offenlegung von Schwachstellen und Bug-Bounty-Praktiken. Seit April 2026 hat der Forscher öffentlich Exploits für den Defender, BitLocker und andere Windows-Komponenten veröffentlicht, darunter BlueHammer, RedSun, YellowKey, GreenPlasma und UnDefend. Mehrere Exploits aus dieser Kampagne wurden bereits bei realen Angriffen beobachtet.barracuda+2

Microsoft reagierte auf die Offenlegungen mit der Androhung rechtlicher Schritte gegen Personen, die sich an „böswilligen Aktivitäten beteiligen, die realen Schaden“ bei Kunden anrichten. Cybersicherheitsexperten deuteten dies als direkte Drohung gegen den Forscher.bleepingcomputer

Kontext zum Patchday

Die Veröffentlichung von ShieldBreak fiel mit dem Microsoft-Patchday im August 2026 zusammen, an dem 421 Sicherheitslücken behoben wurden. Darunter befand sich eine aktiv ausgenutzte Zero-Day-Lücke im Windows Ancillary Function Driver für WinSock (CVE-2026-68820), die ebenfalls SYSTEM-Rechte ermöglicht. Diese Schwachstelle wurde in den Katalog bekannter ausgenutzter Schwachstellen der CISA aufgenommen, mit einer Frist zur Behebung bis zum 25. August 2026.thehackernews

Microsoft hat zudem LegacyHive (CVE-2026-62832) gepatcht, eine weitere Schwachstelle zur Rechteausweitung, die zuvor von Nightmare Eclipse offengelegt worden war. Microsoft teilte The Hacker News mit, dass das Unternehmen den Bericht über ShieldBreak kenne und die Angelegenheit untersuche.thehackernews