Chaotic Eclipse zufolge zeigt ShieldBreak, dass Microsoft die Schwachstelle RoguePlanet beziehungsweise CVE-2026-50656 nicht vollständig behoben hat. Der Forscher spricht von einem vollständigen Umgehen des Patches und erklärte, Microsoft habe es versäumt, die RoguePlanet-Lücke korrekt zu schließen.
RoguePlanet war zunächst im Juni 2026 offengelegt worden. Microsoft veröffentlichte den Patch erst fast einen Monat später und beschrieb das Problem als Privilegieneskalation in der Microsoft Malware Protection Engine, konkret in „mpengine.dll“. Zuvor hatte Chaotic Eclipse bereits erklärt, dass die von Microsoft als „Defense-in-Depth-Updates“ bezeichneten Maßnahmen für CVE-2026-50656 unter bestimmten Bedingungen auf Windows 11 25H2 und Windows Server 2025 dazu führen können, dass Defender beim Öffnen einer Datei acht Byte an Daten preisgibt. Microsoft teilte The Hacker News damals mit, man kenne den Bericht und untersuche ihn.
Für ShieldBreak beansprucht der Forscher nun eine weitergehende Wirkung. Der Proof of Concept sei auf der neuesten Version von Windows 11 25H2 einschließlich Canary Channel sowie auf Windows Server 2025 getestet worden und habe dort eine Erfolgsquote von 100 Prozent erreicht. Windows 10 und die entsprechenden Server-Editionen würden derzeit zwar nicht unterstützt, seien laut Chaotic Eclipse aber ebenfalls für ShieldBreak anfällig.
Eine Stellungnahme von Microsoft zu ShieldBreak lag zunächst nicht vor. The Hacker News hat das Unternehmen kontaktiert und angekündigt, den Bericht bei einer Antwort zu aktualisieren.
Die Veröffentlichung fällt in einen Patch-Zyklus, in dem Microsoft insgesamt 421 Sicherheitslücken behoben hat, darunter 236 in Windows. Dazu gehört auch CVE-2026-62832 mit einem CVSS-Wert von 7,8, eine von Chaotic Eclipse im vergangenen Monat unter dem Namen LegacyHive offengelegte Privilegieneskalation im Windows User Profile Service.
Microsoft beschreibt diese Schwachstelle als fehlerhafte Link-Auflösung vor dem Dateizugriff im Windows User Profile Service. Ein autorisierter Angreifer könne dadurch lokal seine Rechte erweitern. Nach Angaben des Unternehmens kann ein authentifizierter Angreifer mit Zugangsdaten für ein anderes lokales Konto eine speziell präparierte Anwendung ausführen, um den Registry-Hive eines anderen Nutzers zu laden. Eine erfolgreiche Ausnutzung könne den Zugriff auf oder die Veränderung fremder Nutzerdaten sowie Administratorrechte ermöglichen. Eine Nutzerinteraktion sei dafür nicht erforderlich.
Ebenfalls behoben wurde ein aktiv ausgenutzter Zero-Day im Windows Ancillary Function Driver for WinSock, geführt als CVE-2026-68820 mit einem CVSS-Wert von 7,0, der SYSTEM-Rechte ermöglicht. Hinzu kommt eine öffentlich bekannte Manipulationsschwachstelle im Windows Container Isolation FS Filter Driver „unionfs.sys“, registriert als CVE-2026-72971 mit einem CVSS-Wert von 5,5.
Die US-Behörde CISA hat CVE-2026-68820 inzwischen in ihren Katalog der Known Exploited Vulnerabilities aufgenommen. Bundesbehörden in den USA müssen die bereitgestellten Korrekturen laut CISA bis zum 25. August 2026 einspielen.