Nach der Veröffentlichung der Microsoft Patch Tuesday Sicherheitsupdates für August 2026 hat ein Sicherheitsforscher einen neuen Zero-Day-Exploit namens „ShieldBreak“ veröffentlicht. Der Forscher, der unter den Namen Nightmare Eclipse oder Chaotic Eclipse bekannt ist, nutzt eine Schwachstelle im Microsoft Defender aus.
ShieldBreak dient als Umgehung für die RoguePlanet-Schwachstelle (CVE-2026-50656). Dabei handelt es sich um einen Fehler zur Eskalation von Privilegien im Microsoft Defender, der im Juni offengelegt und von Microsoft im Juli behoben wurde.
Die Schwachstelle ermöglicht den Zugriff auf SYSTEM-Privilegien auf Systemen mit Windows 10, Windows 11 und Windows Server. Der Exploit unterstützt derzeit nur Windows 11 25H2 und Windows Server 2025.
Der Proof-of-Concept wurde auf Windows 11 25H2 und Windows Server 2025 getestet.
Der Forscher gab an, dass der Proof-of-Concept bei Tests auf Windows 11 25H2 sowie Windows Server 2025 eine Erfolgsrate von 100 % erzielte. Will Dormann, leitender Analyst für Schwachstellen bei Tharros, bestätigte die Funktionsfähigkeit von ShieldBreak und wies darauf hin, dass Microsoft Defender für die Privilegieneskalation aktiviert sein muss.
Kritik an Microsofts Patch-Qualität
Microsoft hatte Mitte Juni ein „High-Quality-Update“ für die RoguePlanet-Schwachstelle versprochen. Das versprochene Update erwies sich jedoch als qualitativ minderwertiger als erwartet. Nightmare Eclipse erklärte, dass Microsoft die RoguePlanet-Schwachstelle CVE-2026-50656 nicht ordnungsgemäß gepatcht habe und der Proof-of-Concept eine vollständige Umgehung des Patches demonstriere.
Microsoft hatte die RoguePlanet-Schwachstelle im Juli 2026 durch eine aktualisierte Malware Protection Engine behoben, die am 8. Juli bereitgestellt wurde. Die August 2026 Patch Tuesday Updates werden voraussichtlich keinen Schutz gegen ShieldBreak bieten.
Konflikt zwischen Microsoft und Sicherheitsforscher
Die Veröffentlichung von ShieldBreak ist Teil eines anhaltenden und heftigen Streits zwischen Microsoft und dem Forscher über die Praktiken der Sicherheitsantwort und der Bug-Bounty-Programme des Unternehmens. Der Forscher nannte Streitigkeiten mit dem Microsoft Security Response Center (MSRC) als Grund für die Veröffentlichungen, machte jedoch keine Details geltend, möglicherweise aufgrund einer Geheimhaltungsvereinbarung.
Seit April 2026 hat der anonyme Forscher mehrere andere Zero-Day-Exploits für Microsoft Defender, BitLocker und verschiedene Windows-Komponenten offengelegt, darunter LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma und UnDefend. Während die Schwachstellen YellowKey, GreenPlasma und MiniPlasma im Juni 2026 behoben wurden, warten für LegacyHive, BlueHammer, RedSun und UnDefend noch offizielle Patches.
Microsoft drohte Ende Mai nach mehreren Exploit-Leaks mit einer strafrechtlichen Verfolgung des Forschers. Das Unternehmen warnte zudem vor rechtlichen Schritten gegen Personen, die „böswillige Aktivitäten, die echten Schaden bei seinen Kunden verursachen“, ausüben. Cybersecurity-Experten gehen davon aus, dass die Drohungen gegen rechtliche Schritte darauf abzielen, den Sicherheitsforscher direkt einzuschüchtern. Die Drohungen von Microsoft führten zu Gegenreaktionen in der Sicherheitsgemeinschaft und zu einem Pwnie Award beim Defcon, den jedoch kein Microsoft-Mitarbeiter freiwillig annahm.
