У п’ятницю Microsoft підтвердила, що почала роботу над виправленням безпеки для вразливості нульового дня у Defender під назвою “ShieldBreak”.
Дослідник безпеки під псевдонімом “Nightmare Eclipse” розкрив цю вразливість ескалації привілеїв після того, як Microsoft випустила оновлення безпеки Patch Tuesday за серпень 2026 року.
“Microsoft обізнана про заявлену вразливість і активно досліджує достовірність та потенційну застосовність цих тверджень”, — повідомив BleepingComputer речник Microsoft, відповідаючи на запит щодо нового zero-day експлойту ShieldBreak.
“Microsoft зобов’язується досліджувати проблеми безпеки та оновлювати уражені продукти для захисту клієнтів якомога швидше”.
Nightmare Eclipse описав ShieldBreak як спосіб обійти RoguePlanet, іншу вразливість ескалації привілеїв Defender, про яку стало відомо у червні. Дослідник також опублікував proof-of-concept (PoC) експлойт для ShieldBreak, який може бути використаний локальними зловмисниками з обмеженими дозволами для отримання системних привілеїв (SYSTEM) на повністю оновлених системах Windows 10, Windows 11 та Windows Server.
“Microsoft не змогла належним чином виправити вразливість RoguePlanet CVE-2026-50656, цей PoC демонструє повне обходження виправлення”, — зазначив Nightmare Eclipse.
“PoC був протестований на останній версії Windows 11 25h2 (+ Canary channel) та Windows Server 2025, PoC також має 100% успіх. Зверніть увагу, що Windows 10 (та відповідні серверні видання) наразі не підтримуються, проте вони також вразливі до ShieldBreak”.
Аналітик з питань безпеки Вілл Дорманн минулого тижня підтвердив, що експлойт ShieldBreak працює, але додав, що для ескалації привілеїв зловмисниками Microsoft Defender також має бути активований.
Відстежується як CVE-2026-69414, очікується виправлення
У п’ятницю, через три дні після виявлення ShieldBreak, Microsoft повідомила, що тепер відстежує цю вразливість під ідентифікатором CVE-2026-69414 та підтвердила роботу над виправленням, проте ще не визнала, що саме Nightmare Eclipse її виявив.
“Microsoft обізнана про ескалацію привілеїв у рушії захисту Microsoft Malware Protection Engine у Microsoft Defender, публічно відому як ‘ShieldBreak'”, — заявили в компанії. “Ми працюємо над випуском якісного оновлення безпеки, яке усуває цю вразливість. Ми надамо інформацію в цьому CVE, коли оновлення буде доступним”.
Nightmare Eclipse публічно розкрив ShieldBreak без попереднього повідомлення Microsoft як частину триваючої суперечки з компанією щодо її практики розкриття вразливостей та програм винагороди за знайдені баги.
Через кілька днів після того, як дослідник опублікував PoC-експлойти без попереднього сповіщення, Microsoft відповіла попередженнями про юридичні дії проти осіб, які вдаються до “зловмисної діяльності, що завдає реальної шкоди” її клієнтам. Це спонукало багатьох повірити, що компанія безпосередньо погрожувала досліднику безпеки.
З квітня Nightmare Eclipse виявив кілька експлойтів нульового дня, спрямованих на Microsoft Defender, BitLocker та різні інші компоненти Windows, відомих як LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma та UnDefend.
Хоча компанія виправила вразливості YellowKey, GreenPlasma та MiniPlasma в рамках Patch Tuesday за червень 2026 року, а RoguePlanet — у липні, інші недоліки безпеки, виявлені Nightmare Eclipse, залишаються вразливостями нульового дня і досі чекають на офіційне виправлення.
Загальні показники запобігання можуть приховувати те, що відбувається після початкового доступу. Як тільки зловмисники використовують дійсні облікові дані, запобігання різко знижується.
Звіт Blue Report 2026 вимірює ефективність методів захисту окремо, базуючись на 338 мільйонах симуляцій, проведених у реальних виробничих середовищах клієнтів.
Інформація підготовлена на основі матеріалів: www.bleepingcomputer.com