Ny nulldagssårbarhet omgår Microsoft Defender-oppdatering på Windows

En sikkerhetsforsker som opererer under pseudonymet Nightmare Eclipse, har publisert en proof-of-concept-eksploit kalt ShieldBreak. Denne omgår Microsofts ↗ 0.52% nylige sikkerhetsoppdatering for en sårbarhet i Windows Defender som tillater rettighetseskalering, og gir angripere SYSTEM-tilgang på fullt oppdaterte systemer.

En oppdatering som ikke holdt

ShieldBreak er rettet mot CVE-2026-50656, en kappløpssituasjon (race condition) i Microsoft Malware Protection Engine (mpengine.dll) som opprinnelig ble avdekket av forskeren i juni 2026 under navnet RoguePlanet. Microsoft tettet sårbarheten i juli, men Nightmare Eclipse hevder at feilrettingen er ufullstendig.thehackernews+1

«Microsoft har mislyktes i å tette RoguePlanet-sårbarheten ordentlig,» skrev forskeren, og la til at eksploiten har en «100 % suksessrate» på de nyeste versjonene av Windows 11 25H2, Canary-kanalen og Windows Server 2025. Windows 10-systemer skal også være sårbare, selv om denne PoC-en foreløpig ikke støtter dem.bleepingcomputer+1

Will Dormann, sjefanalytiker for sårbarheter hos Tharros, bekreftet tirsdag at eksploiten fungerer, og påpekte at Microsoft Defender må være aktivert for at ShieldBreak skal kunne eskalere rettigheter.bleepingcomputer

En eskalerende konflikt

Publiseringen er en del av en månedslang konflikt mellom Nightmare Eclipse og Microsoft om rapportering av sårbarheter og utbetaling av feilsøkingsdusører (bug bounties). Siden april 2026 har forskeren offentliggjort eksploiter rettet mot Defender, BitLocker og andre Windows-komponenter, inkludert BlueHammer, RedSun, YellowKey, GreenPlasma og UnDefend. Flere eksploiter fra denne kampanjen har blitt observert i faktiske dataangrep.barracuda+2

Microsoft reagerte på offentliggjøringene med advarsler om rettslige skritt mot personer som driver med «skadelig aktivitet som påfører reell skade» på kundene deres, noe cybersikkerhetseksperter tolket som en direkte trussel mot forskeren.bleepingcomputer

Kontekst rundt Patch Tuesday

Lanseringen av ShieldBreak falt sammen med Microsofts «Patch Tuesday» for august 2026, som rettet 421 sikkerhetshull. Blant disse var en aktivt utnyttet nulldagssårbarhet i Windows Ancillary Function Driver for WinSock (CVE-2026-68820), som også gir SYSTEM-rettigheter. Denne sårbarheten har blitt lagt til i CISAs katalog over kjente utnyttede sårbarheter, med en frist for utbedring innen 25. august 2026.thehackernews

Microsoft rettet også LegacyHive (CVE-2026-62832), en annen sårbarhet for rettighetseskalering som tidligere ble avdekket av Nightmare Eclipse. Microsoft uttaler til The Hacker News at de er kjent med rapporten om ShieldBreak og undersøker saken.thehackernews