Microsoft подтвердила, что работает над обновлением безопасности для устранения уязвимости повышения привилегий в движке защиты от вредоносных программ Microsoft Defender после того, как она была публично раскрыта под названием ShieldBreak. Компания зарегистрировала уязвимость под номером CVE-2026-69414, однако пока не назвала дату выпуска исправления.
Компания начала действовать после того, как исследователь безопасности, известный под именем Nightmare Eclipse, опубликовал подробности уязвимости и доказательство концепции эксплуатации после обновлений в рамках «вторника исправлений» за август 2026 года. Microsoft заявила, что отслеживает сообщение и проверяет его достоверность и применимость, подтвердив, что работает над предоставлением качественного обновления безопасности и добавлением необходимой информации в запись CVE после выхода обновления.
Как работает ShieldBreak?
Исследователь описал уязвимость как обход исправления другой уязвимости в Defender, известной под названием RoguePlanet и зарегистрированной под номером CVE-2026-50656. По словам исследователя, локальный атакующий с ограниченными привилегиями может использовать эксплойт для получения привилегий SYSTEM — одного из высших уровней привилегий в Windows.
Исследователь заявил, что доказательство концепции было протестировано на последней версии Windows 11 25H2, включая канал Canary, а также на Windows Server 2025, и, согласно его описанию, показало стопроцентную успешность. Он также отметил, что Windows 10 и соответствующие серверные версии не поддерживаются доказательством концепции, но остаются уязвимыми. Аналитик уязвимостей Will Dormann подтвердил работоспособность эксплойта, пояснив, что Microsoft Defender должен быть включён, чтобы атакующий мог повысить свои привилегии.
Что это практически меняет для организаций?
Доступная информация не указывает на то, что ShieldBreak сама по себе обеспечивает удалённый доступ; описанный сценарий начинается с атакующего, имеющего локальный доступ и ограниченные первоначальные привилегии. Однако успешное повышение привилегий может превратить этот ограниченный доступ в контроль с привилегиями SYSTEM над защищённым и обновлённым устройством, что делает выпуск исправления важным для команд, отвечающих за управление Windows и корпоративную безопасность.
В настоящее время в материале нет объявленной даты выхода обновления или подтверждения от Microsoft того, что исследователь обнаружил уязвимость. Поэтому эксплуатационные детали по-прежнему основаны на публикации исследователя и первоначальной оценке аналитика, пока компания не выпустит своё обновление и окончательную информацию.
Спор вокруг раскрытия уязвимостей
Nightmare Eclipse опубликовал ShieldBreak без предварительного уведомления Microsoft в рамках продолжающегося спора с компанией о практиках раскрытия уязвимостей и программе вознаграждений за обнаружение ошибок. После публикации доказательств концепции для нескольких уязвимостей Microsoft предупредила о принятии юридических мер против того, что она назвала вредоносной деятельностью, причиняющей реальный ущерб её клиентам, что многие восприняли как угрозу, направленную против исследователя.
С апреля 2026 года исследователю приписывают публикацию уязвимостей нулевого дня, нацеленных на Defender, BitLocker и другие компоненты Windows, включая LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma и UnDefend. Microsoft устранила YellowKey, GreenPlasma и MiniPlasma в рамках обновлений за июнь 2026 года, затем RoguePlanet — в июле, тогда как другие уязвимости всё ещё ожидают официального исправления.