A Microsoft confirmou que está trabalhando em uma atualização de segurança para corrigir uma vulnerabilidade de escalada de privilégios no mecanismo de proteção contra malware do Microsoft Defender, depois que ela foi divulgada publicamente sob o nome ShieldBreak. A empresa registrou a vulnerabilidade sob o número CVE-2026-69414, mas ainda não definiu uma data para o lançamento da correção.
A iniciativa da empresa ocorreu depois que o pesquisador de segurança conhecido como Nightmare Eclipse publicou detalhes da vulnerabilidade e uma prova de conceito da exploração após as atualizações da “terça-feira de patches” de agosto de 2026. A Microsoft afirmou que está acompanhando o relatório e investigando sua validade e aplicabilidade, confirmando que trabalha para fornecer uma atualização de segurança de alta qualidade e adicionar as informações necessárias ao registro CVE quando a atualização estiver disponível.
Como a ShieldBreak funciona?
O pesquisador descreveu a vulnerabilidade como uma forma de contornar a correção de outra vulnerabilidade no Defender, conhecida como RoguePlanet e registrada sob o número CVE-2026-50656. Segundo o pesquisador, um invasor local com privilégios limitados pode usar a exploração para obter privilégios de SYSTEM, um dos níveis mais altos de privilégio no Windows.
O pesquisador afirmou que a prova de conceito foi testada na versão mais recente do Windows 11 25H2, incluindo o canal Canary, e no Windows Server 2025, alcançando uma taxa de sucesso total de acordo com sua descrição. Ele também observou que o Windows 10 e as versões de servidor relacionadas não são compatíveis com a prova de conceito, mas continuam vulneráveis à falha. O analista de vulnerabilidades Will Dormann confirmou que a exploração funciona, explicando que o Microsoft Defender precisa estar ativado para que o invasor consiga escalar seus privilégios.
O que muda na prática para as organizações?
As informações disponíveis não indicam que a ShieldBreak permita, por si só, o acesso remoto; o cenário descrito começa com um invasor que já possui acesso local e privilégios iniciais limitados. No entanto, o sucesso da escalada pode transformar esse acesso limitado em controle com privilégios SYSTEM sobre um dispositivo protegido e atualizado, o que torna a disponibilidade da correção importante para as equipes de gerenciamento do Windows e de segurança corporativa.
No momento, não há uma data anunciada para a atualização nem confirmação da Microsoft de que o pesquisador descobriu a vulnerabilidade. Portanto, os detalhes operacionais continuam baseados no que foi publicado pelo pesquisador e na avaliação inicial do analista, até que a empresa publique sua atualização e suas informações finais.
Disputa sobre a divulgação de vulnerabilidades
Nightmare Eclipse publicou a ShieldBreak sem notificar previamente a Microsoft, no contexto de uma disputa contínua com a empresa sobre as práticas de divulgação de vulnerabilidades e o programa de recompensas por descoberta de falhas. Depois da publicação de provas de conceito para várias vulnerabilidades, a Microsoft advertiu que tomaria medidas legais contra o que descreveu como atividades maliciosas que causassem danos reais aos seus clientes, algo que muitos consideraram uma ameaça dirigida ao pesquisador.
Desde abril de 2026, o pesquisador foi associado à publicação de vulnerabilidades de dia zero que afetam o Defender, o BitLocker e outros componentes do Windows, entre elas LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma e UnDefend. A Microsoft corrigiu YellowKey, GreenPlasma e MiniPlasma nas atualizações de junho de 2026 e, posteriormente, a RoguePlanet em julho, enquanto outras vulnerabilidades continuaram aguardando uma correção oficial.