Nová zero-day chyba obchází opravu Microsoft Defenderu ve Windows

Bezpečnostní výzkumník vystupující pod přezdívkou Nightmare Eclipse vydal proof-of-concept exploit s názvem ShieldBreak, který obchází nedávnou opravu společnosti Microsoft ↗ 0.52% pro zranitelnost umožňující zvýšení oprávnění v programu Windows Defender. Útočníkům tak na plně aktualizovaných systémech opět umožňuje získat přístup na úrovni SYSTEM.

Oprava, která nevydržela

ShieldBreak se zaměřuje na zranitelnost CVE-2026-50656, což je souběh stavů (race condition) v jádru Microsoft Malware Protection Engine (mpengine.dll), který výzkumník původně odhalil v červnu 2026 pod názvem RoguePlanet. Microsoft tuto chybu opravil v červenci, ale Nightmare Eclipse tvrdí, že oprava je neúplná.thehackernews+1

„Microsoftu se nepodařilo zranitelnost RoguePlanet řádně opravit,“ napsal výzkumník a dodal, že exploit má „100% úspěšnost“ na nejnovějších verzích Windows 11 25H2, v kanálu Canary a na Windows Serveru 2025. Zranitelné jsou údajně i systémy Windows 10, ačkoli PoC je zatím nepodporuje.bleepingcomputer+1

Will Dormann, hlavní analytik zranitelností ve společnosti Tharros, v úterý potvrdil, že exploit funguje, a poznamenal, že pro zvýšení oprávnění pomocí ShieldBreak musí být Windows Defender povolen.bleepingcomputer

Eskalující spor

Vydání exploitu je součástí měsíce trvající konfrontace mezi Nightmare Eclipse a Microsoftem ohledně zveřejňování zranitelností a programů bug bounty. Od dubna 2026 výzkumník veřejně publikoval exploity zaměřené na Defender, BitLocker a další součásti systému Windows, včetně nástrojů BlueHammer, RedSun, YellowKey, GreenPlasma a UnDefend. Několik exploitů z této kampaně již bylo zaznamenáno při skutečných útocích.barracuda+2

Microsoft na tato odhalení reagoval varováním před právními kroky vůči osobám, které se podílejí na „škodlivé činnosti způsobující skutečnou újmu“ jeho zákazníkům, což odborníci na kybernetickou bezpečnost interpretovali jako přímou hrozbu pro samotného výzkumníka.bleepingcomputer

Souvislosti s Patch Tuesday

Vydání ShieldBreak se časově shodovalo s srpnovým Patch Tuesday Microsoftu pro rok 2026, který řešil 421 bezpečnostních chyb včetně aktivně zneužívané zero-day zranitelnosti v ovladači Windows Ancillary Function Driver pro WinSock (CVE-2026-68820), která rovněž umožňuje získat oprávnění SYSTEM. Tato zranitelnost byla přidána do katalogu známých zneužívaných zranitelností (Known Exploited Vulnerabilities) úřadu CISA s termínem pro nápravu do 25. srpna 2026.thehackernews

Microsoft také opravil LegacyHive (CVE-2026-62832), další chybu umožňující zvýšení oprávnění, kterou dříve odhalil Nightmare Eclipse. Společnost Microsoft sdělila serveru The Hacker News, že o zprávě týkající se ShieldBreak ví a celou záležitost vyšetřuje.thehackernews