Uusi nollapäivähaavoittuvuus ohittaa Microsoft Defenderin korjauksen Windowsissa

Nimimerkillä Nightmare Eclipse toimiva tietoturvatutkija on julkaissut ShieldBreak-nimisen proof-of-concept-hyökkäyskoodin (PoC), joka ohittaa Microsoftin ↘ 0.44% äskettäisen korjauksen Windows Defenderin oikeuksienkorotushaavoittuvuuteen. Tämä antaa hyökkääjille jälleen SYSTEM-tason käyttöoikeudet täysin päivitetyissä järjestelmissä.

Korjaus, joka ei pitänyt

ShieldBreak kohdistuu CVE-2026-50656-haavoittuvuuteen, joka on kilpatilanne (race condition) Microsoftin haittaohjelmien torjuntamoottorissa (mpengine.dll). Tutkija toi haavoittuvuuden alun perin julki kesäkuussa 2026 nimellä RoguePlanet. Microsoft korjasi haavoittuvuuden heinäkuussa, mutta Nightmare Eclipsen mukaan korjaus on puutteellinen.thehackernews+1

"Microsoft ei ole onnistunut korjaamaan RoguePlanet-haavoittuvuutta asianmukaisesti", tutkija kirjoitti ja lisäsi, että hyökkäyskoodin "onnistumisprosentti on 100 %" Windows 11 25H2:n uusimmissa versioissa, Canary-kanavalla sekä Windows Server 2025 -käyttöjärjestelmässä. Myös Windows 10 -järjestelmien sanotaan olevan haavoittuvia, vaikka PoC ei vielä tue niitä.bleepingcomputer+1

Tharrosin johtava haavoittuvuusanalyytikko Will Dormann vahvisti tiistaina, että hyökkäyskoodi toimii. Hän huomautti, että Microsoft Defenderin on oltava käytössä, jotta ShieldBreak voi korottaa käyttöoikeuksia.bleepingcomputer

Kiihtyvä kiista

Julkaisu on osa kuukausia kestänyttä vastakkainasettelua Nightmare Eclipsen ja Microsoftin välillä koskien haavoittuvuuksien paljastamista ja bugipalkkiokäytäntöjä. Huhtikuusta 2026 lähtien tutkija on julkaissut avoimesti hyökkäyskoodeja, jotka kohdistuvat Defenderiin, BitLockeriin ja muihin Windowsin osiin, mukaan lukien BlueHammer, RedSun, YellowKey, GreenPlasma ja UnDefend. Useita tämän kampanjan hyökkäyskoodeja on havaittu todellisissa tietomurroissa.barracuda+2

Microsoft vastasi paljastuksiin varoittamalla oikeustoimista sellaisia henkilöitä vastaan, jotka osallistuvat "haitalliseen toimintaan, joka aiheuttaa todellista vahinkoa" sen asiakkaille. Tietoturva-asiantuntijat tulkitsivat tämän suoraksi uhkaukseksi tutkijaa kohtaan.bleepingcomputer

Patch Tuesday -konteksti

ShieldBreakin julkaisu osui samaan aikaan Microsoftin elokuun 2026 Patch Tuesday -päivityskierroksen kanssa. Kierroksella korjattiin 421 tietoturva-aukkoa, mukaan lukien aktiivisesti hyödynnetty nollapäivähaavoittuvuus Windowsin WinSock-aputoimintojen ohjaimessa (CVE-2026-68820), joka myös mahdollistaa SYSTEM-oikeuksien saamisen. Kyseinen haavoittuvuus on lisätty CISAn tunnettujen hyödynnettyjen haavoittuvuuksien luetteloon, ja sen korjaamisen määräajaksi on asetettu 25. elokuuta 2026.thehackernews

Microsoft korjasi myös LegacyHiven (CVE-2026-62832), toisen oikeuksienkorotushaavoittuvuuden, jonka Nightmare Eclipse oli aiemmin paljastanut. Microsoft kertoi The Hacker Newsille olevansa tietoinen ShieldBreak-raportista ja tutkivansa asiaa.thehackernews