Microsoft Defender: виявлено новий злам ShieldBreak

Інцидент із безпекою, який торкнувся Microsoft Defender, виявив новий злам під назвою ShieldBreak. Про це повідомив дослідник безпеки Nightmare Eclipse 13 серпня. Злам використовує вразливість, яка виникла через неповне виправлення попередньої проблеми, відомої як Rogue Planet (CVE-2026-50656).

ShieldBreak: деталі вразливості

ShieldBreak дозволяє будь-якому обліковому запису Windows отримати привілеї SYSTEM, що надає повний контроль над пристроєм. Microsoft підтвердила існування проблеми в рушії захисту від шкідливого програмного забезпечення Microsoft Defender і вже працює над її усуненням.

Зв’язок із Rogue Planet

ShieldBreak пов’язаний із вразливістю Defender Rogue Planet (CVE-2026-50656, CVSS 7.8), яка була виявлена у червні. Rogue Planet – це вразливість підвищення привілеїв, яка дозволяла зловмисникам запускати оболонку з привілеями SYSTEM та виконувати довільний код у системах Windows.

Незважаючи на те, що Microsoft випустила оновлення безпеки у липні, стверджуючи, що усунула вразливість Rogue Planet, Nightmare Eclipse заявив, що виправлення було неповним. Концептуальний доказ (PoC) вразливості, навіть після модифікації, все ще міг бути успішно використаний на пристроях Windows, які вже отримали оновлення безпеки.

Відмінності у механізмах атаки

Хоча обидва злами, ShieldBreak і Rogue Planet, націлені на Microsoft Defender, їхні механізми реалізації відрізняються. Rogue Planet використовував зміну шляхів файлових операцій Defender для здійснення атаки. Натомість ShieldBreak використовує вікно виконання API-викликів, щоб замінити вміст файлу під час його сканування Defender.