ShieldBreak: Neuer Zero-Day umgeht Microsofts Defender-Patch

Der Forscher Nightmare Eclipse hat einen neuen Zero-Day-Exploit veröffentlicht, der einen bereits gepatchten Defender-Fehler erneut ausnutzt. Microsoft droht mit rechtlichen Schritten.

Dieser Artikel wurde mit KI-Unterstützung aus mehreren Quellen entworfen und vor der Veröffentlichung von einer Redakteurin/einem Redakteur geprüft und freigegeben.

Der Sicherheitsforscher Nightmare Eclipse hat einen neuen Zero-Day-Exploit namens ShieldBreak veröffentlicht, der einen bereits von Microsoft gepatchten Defender-Fehler umgeht. Der Exploit ermöglicht es Angreifern, auf vollständig gepatchten Windows-Systemen SYSTEM-Rechte zu erlangen. ShieldBreak wurde nach den Sicherheitsupdates vom August 2026 veröffentlicht und ist ein Bypass für RoguePlanet, eine im Juni aufgedeckte und einen Monat später gepatchte Schwachstelle in Microsoft Defender.

Laut Nightmare Eclipse kann ShieldBreak SYSTEM-Rechte auf vollständig gepatchten Windows 10-, Windows 11- und Windows Server-Systemen erlangen. Der Proof-of-Concept (PoC) wurde auf Windows 11 25H2, einschließlich des Canary-Kanals, und Windows Server 2025 mit einer Erfolgsrate von 100 Prozent getestet. Windows 10 und die entsprechenden Server-Editionen werden vom PoC nicht unterstützt, sind aber ebenfalls anfällig für ShieldBreak. Voraussetzung für die Eskalation ist, dass Microsoft Defender aktiviert ist.

Nightmare Eclipse erklärte: "Microsoft hat es versäumt, die RoguePlanet-Schwachstelle CVE-2026-50656 ordnungsgemäß zu patchen; dieser PoC demonstriert einen vollständigen Patch-Bypass." Der Exploit ist Teil eines anhaltenden Streits zwischen Microsoft und dem Forscher über Offenlegungspraktiken und Bug-Bounty-Programme. Microsoft reagierte auf die Veröffentlichungen von Nightmare Eclipse mit Warnungen vor rechtlichen Schritten gegen Personen, die "böswillige Aktivitäten ausüben, die seinen Kunden echten Schaden zufügen".

Will Dormann, Principal Vulnerability Analyst bei Tharros, bestätigte am Dienstag, dass der Exploit funktioniert. Seit April 2026 hat Nightmare Eclipse insgesamt acht Zero-Day-Exploits veröffentlicht: LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma und UnDefend, die Microsoft Defender, BitLocker und andere Windows-Komponenten betreffen. Microsoft hat RoguePlanet im Juli sowie YellowKey, GreenPlasma und MiniPlasma im Juni 2026 im Rahmen des Patch Tuesday behoben. Die übrigen von Nightmare Eclipse offengelegten Schwachstellen warten weiterhin auf einen offiziellen Patch.

BleepingComputer hat Microsoft um eine Stellungnahme gebeten und wird den Artikel aktualisieren, sobald eine Antwort vorliegt. Die Situation zeigt, dass selbst nach einem Patch ein Zero-Day wie ShieldBreak die Wirksamkeit von Sicherheitsupdates in Frage stellen kann. Unternehmen, die Microsoft Defender einsetzen, sollten die Entwicklungen genau beobachten und zusätzliche Sicherheitsmaßnahmen in Betracht ziehen, bis Microsoft einen vollständigen Fix bereitstellt.