O seu Defender corrigido ainda tem uma porta aberta

O que o ShieldBreak demonstrou mesmo a 12 de agosto

Um investigador conhecido como Chaotic Eclipse, também identificado como Nightmare Eclipse, publicou uma prova de conceito chamada ShieldBreak: uma anulação completa do patch de julho da Microsoft para o CVE-2026-50656, a falha RoguePlanet de escalonamento de privilégios no Malware Protection Engine do Defender. O investigador afirma uma taxa de sucesso de 100 por cento no Windows 11 25H2, no respetivo canal Canary e no Windows Server 2025. Kevin Beaumont reproduziu o exploit pelos seus próprios meios contra uma máquina Windows 11 totalmente atualizada, o que junta uma confirmação externa ao relatório do próprio descobridor.

A resposta da Microsoft até agora: a empresa diz estar ciente do relatório e a investigar ativamente a validade e a aplicabilidade destas alegações, sublinhando ao mesmo tempo que defende a divulgação coordenada, uma nota que não é inocente, já que o ShieldBreak foi publicado sem aviso prévio à Microsoft, num contexto que a imprensa da área descreve como um conflito cada vez mais tenso entre este investigador e a equipa de gestão de vulnerabilidades da Microsoft desde abril de 2026. Até à data de publicação não existe patch, CVE nem calendário para o ShieldBreak.

Porque é que corrigido deixou de ser sinónimo de protegido

A falha original do RoguePlanet era uma condição de corrida combinada com uma resolução incorreta de ligações dentro do mpengine.dll, e o patch de julho da Microsoft resolveu precisamente esse mecanismo. O ShieldBreak chega ao mesmo resultado ao nível SYSTEM por outro caminho: sequestra a verificação de ficheiros por hidratação na nuvem do Defender através da Cloud Filter API, em conjunto com manipulação do Common Log File System e ligações simbólicas do Object Manager, levando o Defender a bloquear um ficheiro de sistema legítimo enquanto uma substituição maliciosa é introduzida por baixo. Beaumont já assinalou que o caminho técnico é substancialmente diferente da falha original, razão pela qual evita chamar-lhe uma anulação pura e simples da mesma vulnerabilidade, mas para quem tem de proteger um parque informático a exposição prática é idêntica nos dois casos.

Como o exploit exige que o Microsoft Defender esteja mesmo em execução para funcionar, o próprio controlo em que a maioria dos ambientes Windows confia para travar o escalonamento de privilégios torna-se aqui o mecanismo que o possibilita. Os relatos confirmam que o Windows 10, o Windows 11 e o Windows Server 2025 estão todos afetados, e não se trata de um caso isolado limitado a versões preliminares.

O verdadeiro problema está no painel de conformidade

Qualquer organização que tenha dado como resolvido o CVE-2026-50656 depois do patch de julho tem agora um registo de conformidade tecnicamente correto mas incompleto na prática: o patch está de facto aplicado, e ainda assim o resultado concreto de escalonamento de privilégios que devia impedir continua acessível por outra via. Uma auditoria de rotina que se limite a comparar os números de versão do Malware Protection Engine com a linha de base de julho não vai detetar esta falha, porque o próprio número de versão não mudou.

É exatamente o mesmo tipo de falha estrutural que as auditorias do NIS2 e do DORA existem para apanhar: um controlo que no papel parece cumprido enquanto o risco de fundo persiste, só que aqui a documentação não está errada. O patch foi aplicado corretamente. O que deixou de ser verdade, em silêncio e semanas depois dos factos, sem que nenhum registo de conformidade o mostrasse, foi a ideia de que aplicá-lo fechava a porta.

O que fazer esta semana, com patch ou sem ele

Comece por fazer um inventário das versões do Malware Protection Engine em toda a organização: qualquer versão abaixo de 1.1.26060.3008 continua vulnerável à falha original do RoguePlanet, independentemente do ShieldBreak. Implemente depois as consultas de deteção publicadas por Kevin Beaumont para o Microsoft Defender for Endpoint, e monitorize o MsMPEng.exe à procura de criação anómala de processos-filho, duplicação de tokens e atividade suspeita em junctions ou ligações simbólicas.

Restrinja os direitos de administrador local onde for viável, ative a proteção contra adulteração do Defender e implemente primeiro em modo de auditoria as regras de redução da superfície de ataque, já que as próprias orientações da Microsoft avisam que estes controlos compensatórios podem afetar aplicações empresariais legítimas. Trate isto como um ponto de vigilância em aberto para resposta a incidentes, não como um processo de gestão de patches já fechado, até a Microsoft lançar e confirmar uma solução real, e volte a testar a cobertura de deteção no próprio dia em que ela chegar.

Leia a seguir: A IA está a comprimir a velocidade a que os grupos de espionagem partilham exploits  |  O Erro Que Quebrou Aquilo De Que O Patching Depende