Vad ShieldBreak faktiskt visade den 12 augusti

En forskare som kallar sig Chaotic Eclipse, även känd som Nightmare Eclipse, publicerade en proof-of-concept vid namn ShieldBreak: ett fullständigt kringgående av Microsofts julipatch för CVE-2026-50656, sårbarheten RoguePlanet för rättighetseskalering i Defenders Malware Protection Engine. Forskaren hävdar en framgångsgrad på 100 procent på Windows 11 25H2, dess Canary-kanal, och Windows Server 2025. Kevin Beaumont återskapade exploiten oberoende mot ett fullt uppdaterat Windows 11-system, vilket ger extern bekräftelse utöver upptäckarens egen rapport.

Microsofts svar hittills: företaget säger sig vara medvetet om rapporten och aktivt utreda giltigheten och den potentiella tillämpligheten av dessa påståenden, samtidigt som det understryker att det stödjer koordinerad offentliggörande - en spetsig kommentar, eftersom ShieldBreak publicerades utan förhandsvarning till Microsoft, mitt i vad som enligt rapportering är en eskalerande konflikt mellan denna forskare och Microsofts hantering av sårbarhetsrapportering sedan april 2026. Det finns varken patch, CVE eller tidsplan för ShieldBreak vid publiceringstillfället.

Varför patchad slutade betyda skyddad

Den ursprungliga RoguePlanet-svagheten var en race condition kombinerad med felaktig länkupplösning inuti mpengine.dll, och Microsofts julipatch åtgärdade just den mekanismen. ShieldBreak når samma SYSTEM-resultat via en annan väg: den kapar Defenders molnhydreringsskanning av filer via Cloud Filter API, kombinerat med manipulation av Common Log File System och symboliska länkar från Object Manager, så att Defender låser en legitim systemfil medan en skadlig ersättning smugglas in i bakgrunden. Beaumont har påpekat att den tekniska vägen skiljer sig väsentligt från det ursprungliga felet, varför han undviker att kalla det ett bokstavligt kringgående av samma svaghet - men den praktiska exponeringen för ett företag är identisk i båda fallen.

Eftersom exploiten kräver att Microsoft Defender kör för att fungera, blir just den kontroll som de flesta Windows-miljöer litar på för att stoppa rättighetseskalering här mekanismen som möjliggör den. Rapportering bekräftar att Windows 10, Windows 11 och Windows Server 2025 alla är drabbade, inget avgränsat specialfall begränsat till förhandsversioner.

Problemet med compliance-instrumentpanelen

Varje organisation som registrerade CVE-2026-50656 som åtgärdad efter julipatchen har nu en tekniskt korrekt men praktiskt ofullständig efterlevnadsrapport: patchen är faktiskt tillämpad, och ändå förblir just det resultat av rättighetseskalering som den skulle stänga åtkomligt via en annan väg. En rutinrevision som bara kontrollerar versionsnumren för Malware Protection Engine mot julibaslinjen kommer inte att upptäcka denna lucka, eftersom själva versionsnumret inte har ändrats.

Detta är precis det strukturella misslyckande som NIS2- och DORA-revisioner finns för att upptäcka - en kontroll som ser uppfylld ut på papperet medan den underliggande risken kvarstår -, förutom att pappersarbetet här inte är fel. Patchen tillämpades korrekt. Antagandet att tillämpningen av den stängde dörren är det som tyst har slutat vara sant, veckor efter det faktiska händelseförloppet och utan att någon efterlevnadsrapport visar det.

Vad man ska göra denna vecka, patchad eller inte

Börja med en inventering av versioner av Malware Protection Engine i hela organisationen - allt under 1.1.26060.3008 förblir sårbart för den ursprungliga RoguePlanet-svagheten oavsett ShieldBreak -, sätt sedan in Kevin Beaumonts publicerade detekteringsfrågor för Microsoft Defender för Endpoint och övervaka MsMPEng.exe för onormalt skapande av underprocesser, tokenduplicering och junction- eller symbolisk länkaktivitet.

Begränsa lokala administratörsrättigheter där det är möjligt, aktivera Defenders manipuleringsskydd och rulla först ut regler för minskning av attackytan i granskningsläge, eftersom Microsofts egna riktlinjer varnar för att dessa kompenserande kontroller kan påverka legitima företagsapplikationer. Behandla detta som en öppen bevakningspunkt för incidenthantering och inte som ett avslutat patchhanteringsärende tills Microsoft levererar och bekräftar en lösning - och testa detekteringstäckningen igen den dag den kommer.

Läs vidare: Microsofts cybermodell lämnar ifrån sig svåra 10%  |  Trezor-läcka gör adresser till maltavla