Νέο zero-day παρακάμπτει την ενημέρωση ασφαλείας του Microsoft Defender στα Windows

Ένας ερευνητής ασφαλείας που δραστηριοποιείται με το ψευδώνυμο Nightmare Eclipse κυκλοφόρησε ένα proof-of-concept exploit με το όνομα ShieldBreak, το οποίο παρακάμπτει την πρόσφατη ενημέρωση κώδικα της Microsoft ↗ 0.87% για μια ευπάθεια κλιμάκωσης προνομίων στο Windows Defender, επιτρέποντας και πάλι σε επιτιθέμενους να αποκτήσουν πρόσβαση επιπέδου SYSTEM σε πλήρως ενημερωμένα συστήματα.

Μια ενημέρωση που δεν άντεξε

Το ShieldBreak στοχεύει την ευπάθεια CVE-2026-50656, μια κατάσταση ανταγωνισμού (race condition) στη Μηχανή Προστασίας από Κακόβουλο Λογισμικό της Microsoft (mpengine.dll), η οποία αποκαλύφθηκε αρχικά από τον ερευνητή τον Ιούνιο του 2026 με το όνομα RoguePlanet. Η Microsoft διόρθωσε το σφάλμα τον Ιούλιο, αλλά ο Nightmare Eclipse ισχυρίζεται ότι η διορθωτική ενέργεια είναι ημιτελής.thehackernews+1

«Η Microsoft απέτυχε να διορθώσει σωστά την ευπάθεια RoguePlanet», έγραψε ο ερευνητής, προσθέτοντας ότι το exploit έχει «100% ποσοστό επιτυχίας» στις τελευταίες εκδόσεις των Windows 11 25H2, στο κανάλι Canary και στα Windows Server 2025. Τα συστήματα Windows 10 λέγεται επίσης ότι είναι ευάλωτα, αν και το PoC δεν τα υποστηρίζει ακόμα.bleepingcomputer+1

Ο Will Dormann, κύριος αναλυτής ευπαθειών στη Tharros, επιβεβαίωσε την Τρίτη ότι το exploit λειτουργεί, σημειώνοντας ότι το Microsoft Defender πρέπει να είναι ενεργοποιημένο προκειμένου το ShieldBreak να κλιμακώσει τα προνόμια.bleepingcomputer

Μια κλιμακούμενη διαμάχη

Η κυκλοφορία αυτή εντάσσεται στο πλαίσιο μιας πολύμηνης αντιπαράθεσης μεταξύ του Nightmare Eclipse και της Microsoft σχετικά με τη γνωστοποίηση ευπαθειών και τις πρακτικές επιβράβευσης σφαλμάτων (bug bounty). Από τον Απρίλιο του 2026, ο ερευνητής έχει δημοσιεύσει exploits που στοχεύουν το Defender, το BitLocker και άλλα στοιχεία των Windows, συμπεριλαμβανομένων των BlueHammer, RedSun, YellowKey, GreenPlasma και UnDefend. Πολλά exploits από αυτή την εκστρατεία έχουν παρατηρηθεί σε πραγματικές παραβιάσεις συστημάτων.barracuda+2

Η Microsoft απάντησε στις αποκαλύψεις με προειδοποιήσεις για νομικές ενέργειες εναντίον όσων εμπλέκονται σε «κακόβουλη δραστηριότητα που προκαλεί πραγματική ζημιά» στους πελάτες της, κάτι που οι ειδικοί σε θέματα κυβερνοασφάλειας ερμήνευσαν ως άμεση απειλή προς τον ερευνητή.bleepingcomputer

Το πλαίσιο του Patch Tuesday

Η κυκλοφορία του ShieldBreak συνέπεσε με το Patch Tuesday Αυγούστου 2026 της Microsoft, το οποίο αντιμετώπισε 421 κενά ασφαλείας, συμπεριλαμβανομένου ενός zero-day υπό ενεργή εκμετάλλευση στο Windows Ancillary Function Driver για το WinSock (CVE-2026-68820), το οποίο επίσης παραχωρεί προνόμια SYSTEM. Αυτή η ευπάθεια έχει προστεθεί στον κατάλογο Γνωστών Εκμεταλλεύσιμων Ευπαθειών της CISA, με προθεσμία αποκατάστασης την 25η Αυγούστου 2026.thehackernews

Η Microsoft διόρθωσε επίσης το LegacyHive (CVE-2026-62832), ένα άλλο σφάλμα κλιμάκωσης προνομίων που είχε αποκαλυφθεί προηγουμένως από τον Nightmare Eclipse. Η Microsoft δήλωσε στο The Hacker News ότι είναι ενήμερη για την αναφορά σχετικά με το ShieldBreak και διεξάγει έρευνα.thehackernews