Microsoft підтвердила, що розпочала роботу над виправленням для вразливості нульового дня в Defender під назвою “ShieldBreak”.
Дослідник безпеки під псевдонімом “Nightmare Eclipse” виявив цю вразливість підвищення привілеїв після того, як Microsoft випустила оновлення безпеки за серпень 2026 року.
“Microsoft обізнана про заявлену вразливість і активно досліджує її достовірність та потенційну застосовність”, — заявив речник Microsoft у коментарі BleepingComputer щодо нової вразливості нульового дня ShieldBreak.
“Microsoft прагне досліджувати проблеми безпеки та якнайшвидше оновлювати уражені продукти для захисту клієнтів”.
Nightmare Eclipse описав ShieldBreak як спосіб обходу RoguePlanet, іншої проблеми підвищення привілеїв у Defender, про яку було оголошено в червні. Дослідник також опублікував доказ концепції (PoC) для ShieldBreak, який зловмисники з обмеженими правами доступу можуть використовувати для отримання системних привілеїв на повністю оновлених системах Windows 10, Windows 11 та Windows Server.
“Microsoft не змогла належним чином виправити вразливість RoguePlanet (CVE-2026-50656), цей PoC демонструє повний обхід патчу”, — заявив Nightmare Eclipse.
“PoC було протестовано в останній версії Windows 11 25h2 (+Canary channel) та Windows Server 2025, PoC також має 100% успіху. Зверніть увагу, що Windows 10 (та відповідні серверні видання) наразі не підтримуються, однак вони також вразливі до ShieldBreak”.
Аналітик вразливостей Вілл Дорманн минулого тижня підтвердив, що експлойт ShieldBreak працює, але додав, що Microsoft Defender також має бути увімкнений, щоб зловмисники могли підвищити свої привілеї.
Відстежується як CVE-2026-69414, очікує на виправлення
У п’ятницю, через три дні після розкриття ShieldBreak, Microsoft заявила, що тепер відстежує цю проблему як CVE-2026-69414 та підтвердила, що працює над виправленням, але ще не визнала, що саме Nightmare Eclipse її виявив.
“Microsoft обізнана про підвищення привілеїв у рушії захисту від зловмисного програмного забезпечення Microsoft Defender, публічно відоме як ‘ShieldBreak'”, — повідомила компанія. “Ми працюємо над випуском високоякісного оновлення безпеки, яке усуває цю вразливість. Ми надамо інформацію про цей CVE, коли оновлення стане доступним”.
Nightmare Eclipse публічно розкрив ShieldBreak без попередження Microsoft як частину триваючої суперечки з компанією щодо її політики розкриття вразливостей та програм винагород за виявлення помилок.
Через кілька днів після того, як дослідник опублікував PoC-експлойти без попереднього повідомлення, Microsoft відповіла попередженнями про юридичні дії проти осіб, які займаються “шкідливою діяльністю, що завдає реальної шкоди” їхнім клієнтам, що спонукало багатьох вважати, що компанія безпосередньо погрожувала досліднику безпеки.
З квітня Nightmare Eclipse виявив численні експлойти нульового дня, націлені на Microsoft Defender, BitLocker та різні інші компоненти Windows, тепер відомі як LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma та UnDefend.
Хоча компанія виправила вразливості YellowKey, GreenPlasma та MiniPlasma як частину Patch Tuesday за червень 2026 року, а RoguePlanet — у липні, інші проблеми безпеки, виявлені Nightmare Eclipse, залишаються нульовими днями і досі чекають на офіційне виправлення.
Загальні показники запобігання можуть приховувати те, що відбувається після початкового доступу. Як тільки зловмисники отримують дійсні облікові дані, блокується лише 37% їхніх дій.
Звіт Blue Report 2026 оцінює методи захисту по техніках на основі 338 мільйонів симуляцій, проведених у реальних середовищах клієнтів.
Інформація підготовлена на основі матеріалів: www.bleepingcomputer.com