Eine neu bekannt gewordene Schwachstelle in Microsoft Defender namens ShieldBreak ermöglicht es Angreifern Berichten zufolge, SYSTEM-Rechte auf vollständig aktualisierten Windows-Geräten zu erlangen. Der Proof-of-Concept-Exploit wurde nach Microsofts Patch-Tuesday-Updates vom August 2026 veröffentlicht und wird als Umgehungsmöglichkeit für eine frühere Defender-Schwachstelle beschrieben.
ShieldBreak zielt auf Microsoft-Defender-Scans ab
Der Sicherheitsforscher Nightmare Eclipse veröffentlichte die ShieldBreak-Zero-Day-Schwachstelle als Proof of Concept. Nach Angaben des Forschers betrifft die Schwachstelle Windows 10, Windows 11 und Windows Server, wenn Microsoft Defender aktiviert ist.
Der Exploit soll auf vollständig aktualisierten Systemen mit Windows 11 25H2 und Windows Server 2025 funktionieren. Nightmare Eclipse behauptet, dass der Proof-of-Concept-Code auf den getesteten Geräten eine Erfolgsquote von 100 Prozent erreichte.
Die Ausnutzung der ShieldBreak-Zero-Day-Schwachstelle könnte es einem lokalen Angreifer ermöglichen, seine Rechte auf SYSTEM-Ebene zu erhöhen. Dies ist die höchste Berechtigungsstufe unter Windows und würde einem Angreifer umfassende Kontrolle über ein betroffenes Gerät verschaffen.
Die Schwachstelle unterscheidet sich von RoguePlanet
ShieldBreak wurde als Möglichkeit beschrieben, die Behebung von RoguePlanet zu umgehen. Dabei handelt es sich um eine im Juni 2026 veröffentlichte Schwachstelle in Microsoft Defender, die eine Rechteausweitung ermöglichte und einen Monat später behoben wurde.
Der Sicherheitsforscher Kevin Beaumont erklärte jedoch, dass die beiden Schwachstellen unterschiedliche Methoden verwenden.
RoguePlanet basierte auf einer Race-Condition im Dateisystem. Dabei wurden virtuelle Datenträger und Dateioperationen auf niedriger Ebene genutzt, um den Quarantäneprozess von Defender zu manipulieren und geschützte Systemdateien zu überschreiben.
ShieldBreak missbraucht dagegen Berichten zufolge einen User-Mode-Callback-Hook während eines Cloud-Hydration-Scans von Defender. Der Exploit verwendet die Windows Cloud Filter API, auch CfApi genannt, um Dateiinhalte zu verändern, während Defender sie verarbeitet.
Obwohl die Schwachstellen unterschiedliche technische Mechanismen verwenden, können beide bei aktiviertem Microsoft Defender zu SYSTEM-Rechten führen.
Unabhängiger Forscher bestätigt Funktionsfähigkeit des Exploits
Will Dormann, Principal Vulnerability Analyst bei Tharros, bestätigte, dass der Proof-of-Concept-Code wie beschrieben funktioniert. Er wies darauf hin, dass Microsoft Defender aktiviert sein muss, damit die Ausnutzung der ShieldBreak-Zero-Day-Schwachstelle zu einer Rechteausweitung führt.
Die Veröffentlichung reiht sich in eine Serie von Windows- und Microsoft-Schwachstellen ein, die Nightmare Eclipse seit April 2026 bekannt gemacht hat.
Frühere Veröffentlichungen des Forschers richteten sich gegen Microsoft Defender, BitLocker und andere Windows-Komponenten. Dazu gehören LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma und UnDefend.
Microsoft behob RoguePlanet mit seinen Sicherheitsupdates im Juli. Auch YellowKey, GreenPlasma und MiniPlasma wurden im Rahmen des Patch Tuesday im Juni behoben.
Für mehrere andere von Nightmare Eclipse veröffentlichte Schwachstellen gibt es bislang noch keinen offiziellen Patch von Microsoft.
Microsoft hat noch keinen ShieldBreak-Patch angekündigt
Die Veröffentlichung der ShieldBreak-Zero-Day-Schwachstelle erfolgt vor dem Hintergrund eines öffentlichen Streits zwischen Microsoft und Nightmare Eclipse über die Meldung von Sicherheitslücken und die Praktiken bei Bug-Bounty-Programmen.
Microsoft hatte zuvor davor gewarnt, rechtliche Schritte gegen Personen einzuleiten, die an böswilligen Aktivitäten beteiligt sind und Kunden schaden. Einige Sicherheitsexperten interpretierten diese Aussage als gegen den Forscher gerichtet.
Zum Zeitpunkt der Veröffentlichung hatte Microsoft noch keinen spezifischen Patch oder ein Sicherheitsupdate für ShieldBreak angekündigt.
Organisationen sollten sicherstellen, dass ihre Geräte mehrschichtige Sicherheitskontrollen verwenden, und auf Anzeichen ungewöhnlicher Rechteausweitungen achten. Sicherheitsteams können außerdem veröffentlichte Threat-Hunting-Abfragen nutzen, um in Microsoft-Defender-for-Endpoint-Umgebungen nach möglichen ShieldBreak-Aktivitäten zu suchen.
0 Kommentare zu „Neue Microsoft-Defender-ShieldBreak-Zero-Day-Lücke gewährt SYSTEM-Rechte“