Microsoft bestätigte, dass das Unternehmen an einem Sicherheitsupdate zur Behebung einer Schwachstelle zur Rechteausweitung in der Malware-Schutz-Engine von Microsoft Defender arbeitet, nachdem sie unter dem Namen ShieldBreak öffentlich bekannt geworden war. Das Unternehmen registrierte die Schwachstelle unter der Nummer CVE-2026-69414, nannte jedoch noch keinen Veröffentlichungstermin für den Patch.
Das Unternehmen wurde aktiv, nachdem der unter dem Namen Nightmare Eclipse bekannte Sicherheitsforscher Details zur Schwachstelle und einen Proof of Concept für den Exploit nach den „Patch Tuesday“-Updates vom August 2026 veröffentlicht hatte. Microsoft erklärte, den Bericht zu verfolgen und seine Richtigkeit sowie Anwendbarkeit zu prüfen. Zudem bestätigte das Unternehmen, an einem qualitativ hochwertigen Sicherheitsupdate zu arbeiten und die erforderlichen Informationen in den CVE-Eintrag aufzunehmen, sobald das Update verfügbar ist.
Wie funktioniert ShieldBreak?
Der Forscher beschrieb die Schwachstelle als Umgehung einer anderen Defender-Schwachstelle namens RoguePlanet, die unter der Nummer CVE-2026-50656 registriert wurde. Nach Angaben des Forschers kann ein lokaler Angreifer mit eingeschränkten Berechtigungen den Exploit nutzen, um SYSTEM-Berechtigungen zu erlangen. Dabei handelt es sich um eine der höchsten Berechtigungsstufen in Windows.
Der Forscher erklärte, dass der Proof of Concept auf der neuesten Version von Windows 11 25H2, einschließlich des Canary-Kanals, sowie auf Windows Server 2025 getestet wurde und nach seiner Beschreibung eine vollständige Erfolgsquote erreichte. Außerdem wies er darauf hin, dass Windows 10 und die entsprechenden Serverversionen im Proof of Concept nicht unterstützt werden, aber weiterhin für die Schwachstelle anfällig sind. Der Schwachstellenanalyst Will Dormann bestätigte, dass der Exploit funktioniert, und erklärte, dass Microsoft Defender aktiviert sein muss, damit der Angreifer seine Berechtigungen ausweiten kann.
Was ändert sich praktisch für Unternehmen?
Die verfügbaren Informationen deuten nicht darauf hin, dass ShieldBreak allein einen Fernzugriff ermöglicht. Das beschriebene Szenario beginnt vielmehr mit einem Angreifer, der über lokalen Zugriff und eingeschränkte anfängliche Berechtigungen verfügt. Eine erfolgreiche Rechteausweitung kann diesen eingeschränkten Zugriff jedoch in eine Kontrolle mit SYSTEM-Berechtigungen auf einem geschützten und aktualisierten Gerät verwandeln, wodurch die Verfügbarkeit des Patches für Windows-Administrations- und Unternehmenssicherheitsteams wichtig wird.
Derzeit gibt es in dem Material keinen angekündigten Termin für das Update und keine Bestätigung von Microsoft, dass der Forscher die Schwachstelle entdeckt hat. Daher beruhen die operativen Einzelheiten weiterhin auf den Veröffentlichungen des Forschers und der vorläufigen Einschätzung des Analysten, bis das Unternehmen sein Update und seine endgültigen Informationen veröffentlicht.
Streit über die Offenlegung von Schwachstellen
Nightmare Eclipse veröffentlichte ShieldBreak ohne vorherige Benachrichtigung von Microsoft im Rahmen eines anhaltenden Streits mit dem Unternehmen über Praktiken zur Offenlegung von Schwachstellen und das Bug-Bounty-Programm. Nachdem mehrere Proofs of Concept für Schwachstellen veröffentlicht worden waren, warnte Microsoft vor rechtlichen Schritten gegen das, was das Unternehmen als bösartige Aktivitäten bezeichnete, die seinen Kunden echten Schaden zufügten. Viele betrachteten dies als gegen den Forscher gerichtete Drohung.
Seit April 2026 wurden dem Forscher Veröffentlichungen von Zero-Day-Schwachstellen zugeschrieben, die Defender, BitLocker und weitere Komponenten von Windows angreifen, darunter LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma und UnDefend. Microsoft behob YellowKey, GreenPlasma und MiniPlasma im Rahmen der Updates vom Juni 2026 und anschließend RoguePlanet im Juli, während weitere Schwachstellen auf einen offiziellen Patch warten.