Ny noll-dagssårbarhet kringgår Microsofts Defender-patch i Windows

En säkerhetsforskare under pseudonymen Nightmare Eclipse har släppt en proof-of-concept-exploatering kallad ShieldBreak. Den kringgår Microsofts ↗ 0.52% nyligen släppta säkerhetsuppdatering för en sårbarhet gällande behörighetshöjning i Windows Defender, vilket återigen ger angripare åtkomst på SYSTEM-nivå på fullt uppdaterade system.

En säkerhetsuppdatering som inte höll

ShieldBreak riktar in sig på CVE-2026-50656, ett kapplöpningsproblem (race condition) i Microsoft Malware Protection Engine (mpengine.dll) som ursprungligen offentliggjordes av forskaren i juni 2026 under namnet RoguePlanet. Microsoft åtgärdade sårbarheten i juli, men Nightmare Eclipse hävdar att korrigeringen är ofullständig.thehackernews+1

"Microsoft har misslyckats med att korrigera RoguePlanet-sårbarheten ordentligt", skrev forskaren och tillade att exploateringen har en "100-procentig framgångsgrad" på de senaste versionerna av Windows 11 25H2, Canary-kanalen och Windows Server 2025. Även Windows 10-system sägs vara sårbara, även om denna PoC ännu inte har stöd för dem.bleepingcomputer+1

Will Dormann, chefsanalytiker för sårbarheter på Tharros, bekräftade under tisdagen att exploateringen fungerar och noterade att Microsoft Defender måste vara aktiverat för att ShieldBreak ska kunna höja behörigheterna.bleepingcomputer

En eskalerande tvist

Publiceringen är en del av en månadslång konfrontation mellan Nightmare Eclipse och Microsoft gällande sårbarhetsrapportering och program för buggpremier (bug bounty). Sedan april 2026 har forskaren offentliggjort exploateringar riktade mot Defender, BitLocker och andra Windows-komponenter, däribland BlueHammer, RedSun, YellowKey, GreenPlasma och UnDefend. Flera exploateringar från denna kampanj har observerats i verkliga intrång.barracuda+2

Microsoft svarade på offentliggörandena med varningar om rättsliga åtgärder mot personer som ägnar sig åt "skadlig verksamhet som orsakar verklig skada" för dess kunder, vilket cybersäkerhetsexperter tolkade som ett direkt hot mot forskaren.bleepingcomputer

Kontext kring Patch Tuesday

Lanseringen av ShieldBreak sammanföll med Microsofts Patch Tuesday för augusti 2026, som åtgärdade 421 säkerhetsbrister. Bland dessa fanns en aktivt utnyttjad noll-dagssårbarhet i Windows Ancillary Function Driver för WinSock (CVE-2026-68820) som också ger SYSTEM-behörighet. Den sårbarheten har lagts till i CISA:s katalog över kända utnyttjade sårbarheter (Known Exploited Vulnerabilities) med sista datum för åtgärd den 25 augusti 2026.thehackernews

Microsoft korrigerade även LegacyHive (CVE-2026-62832), en annan sårbarhet för behörighetshöjning som tidigare offentliggjorts av Nightmare Eclipse. Microsoft uppgav för The Hacker News att de är medvetna om ShieldBreak-rapporten och undersöker saken.thehackernews