Cosa ha dimostrato ShieldBreak il 12 agosto

Un ricercatore noto come Chaotic Eclipse, identificato anche come Nightmare Eclipse, ha pubblicato un proof-of-concept chiamato ShieldBreak: un'elusione completa della patch di luglio di Microsoft per CVE-2026-50656, la falla RoguePlanet di escalation dei privilegi nel Malware Protection Engine di Defender. Il ricercatore dichiara un tasso di successo del 100 per cento su Windows 11 25H2, sul suo canale Canary e su Windows Server 2025. Kevin Beaumont ha riprodotto l'exploit in modo indipendente contro un sistema Windows 11 completamente aggiornato, offrendo una conferma esterna oltre alla segnalazione dello stesso scopritore.

La risposta di Microsoft finora: dichiara di essere a conoscenza della segnalazione e di stare indagando attivamente sulla validità e sull'applicabilità potenziale di queste affermazioni, pur sottolineando di sostenere la divulgazione coordinata - un'osservazione pungente, dato che ShieldBreak è stato pubblicato senza preavviso a Microsoft, in quello che secondo le fonti giornalistiche è un conflitto crescente tra questo ricercatore e il processo di gestione delle vulnerabilita di Microsoft dall'aprile 2026. Alla data di pubblicazione non esistono patch, CVE né una tempistica per ShieldBreak.

Perche aggiornato ha smesso di significare protetto

La falla originale di RoguePlanet era una race condition combinata con una risoluzione errata dei collegamenti all'interno di mpengine.dll, e la patch di luglio di Microsoft ha affrontato proprio questo meccanismo. ShieldBreak raggiunge lo stesso risultato a livello SYSTEM per una via diversa: dirotta la scansione dei file per hydration cloud di Defender tramite la Cloud Filter API, combinata con manipolazione del Common Log File System e collegamenti simbolici dell'Object Manager, così che Defender blocchi un file di sistema legittimo mentre viene inserita una sostituzione dannosa. Beaumont ha fatto notare che il percorso tecnico è sostanzialmente diverso dal difetto originale, motivo per cui evita di chiamarlo un'elusione letterale della stessa falla - ma l'esposizione pratica per un'azienda è identica in entrambi i casi.

Poiche l'exploit richiede che Microsoft Defender sia in esecuzione per funzionare, proprio il controllo su cui la maggior parte degli ambienti Windows fa affidamento per fermare l'escalation dei privilegi diventa qui il meccanismo che la rende possibile. Le fonti confermano che Windows 10, Windows 11 e Windows Server 2025 sono tutti interessati, non un caso limitato alle build di anteprima.

Il problema del cruscotto di conformità

Qualsiasi organizzazione che avesse registrato CVE-2026-50656 come risolto dopo la patch di luglio ha ora un registro di conformità tecnicamente corretto ma praticamente incompleto: la patch è stata effettivamente applicata, eppure lo specifico risultato di escalation dei privilegi che avrebbe dovuto chiudere resta raggiungibile per un'altra via. Un audit di routine che verifichi solo i numeri di versione del Malware Protection Engine rispetto alla base di luglio non individuera questa lacuna, perché il numero di versione in sé non è cambiato.

Questo è esattamente il fallimento strutturale che gli audit NIS2 e DORA esistono per individuare - un controllo che appare soddisfatto sulla carta mentre il rischio sottostante persiste -, solo che qui la documentazione non è sbagliata. La patch è stata applicata correttamente. E l'assunto che applicarla chiudesse la porta ad essere silenziosamente diventato falso, settimane dopo i fatti e senza che alcun registro di conformità lo mostrasse.

Cosa fare questa settimana, con o senza patch

Iniziate con un inventario delle versioni del Malware Protection Engine in tutta l'organizzazione - qualsiasi versione sotto la 1.1.26060.3008 resta vulnerabile alla falla originale di RoguePlanet indipendentemente da ShieldBreak -, distribuite poi le query di rilevamento pubblicate da Kevin Beaumont per Microsoft Defender for Endpoint e monitorate MsMPEng.exe per creazione anomala di processi figli, duplicazione di token e attività su junction o collegamenti simbolici.

Limitate i diritti di amministratore locale dove possibile, attivate la protezione antimanomissione di Defender e distribuite prima in modalità di controllo le regole di riduzione della superficie di attacco, poiché le stesse linee guida di Microsoft avvertono che questi controlli compensativi possono influire su applicazioni aziendali legittime. Trattate questo come un punto aperto di sorveglianza per la risposta agli incidenti, non come un ticket di gestione patch chiuso, finché Microsoft non rilascia e conferma una soluzione - e ritestate la copertura di rilevamento il giorno in cui arriva.

Da leggere ora: Il modello cyber di Microsoft cede il 10% difficile  |  Violazione Trezor trasforma indirizzi in bersagli