Nightmare Eclipse zufolge ist „ShieldBreak“ ein vollständiger Patch-Bypass für die von Microsoft unter CVE-2026-50656 behobene RoguePlanet-Schwachstelle. Der Forscher erklärte, Microsoft habe die RoguePlanet-Lücke nicht korrekt geschlossen, und der veröffentlichte Machbarkeitsnachweis zeige diese Umgehung. Getestet worden sei der PoC nach eigener Darstellung mit der aktuellen Version von Windows 11 25H2 einschließlich Canary Channel sowie mit Windows Server 2025; dort habe er eine Erfolgsquote von 100 Prozent erreicht. Windows 10 und die entsprechenden Server-Editionen würden vom PoC derzeit zwar nicht unterstützt, seien aber dennoch ebenfalls für ShieldBreak anfällig.
Kevin Beaumont, der auch Abfragen zur Erkennung einer Ausnutzung von ShieldBreak für Microsoft Defender for Endpoint veröffentlicht hat, grenzt die neue Technik klar von RoguePlanet ab. RoguePlanet sei eine Race-Condition im Dateisystem gewesen, die virtuelle Datenträger und dateinahe Manipulationen genutzt habe, um den Quarantäneprozess zum Überschreiben von Systemdateien zu verleiten. ShieldBreak arbeite dagegen mit einem Callback-Hook im Benutzermodus, um Dateiinhalte während eines Defender-Cloud-Hydration-Scans über die Cloud Filter API zu verändern.
Eine zusätzliche Bestätigung kam von Will Dormann, Principal Vulnerability Analyst bei Tharros. Er bestätigte am Dienstag, dass der Exploit funktioniert. Zugleich stellte er klar, dass Microsoft Defender aktiviert sein muss, damit Angreifer mit ShieldBreak ihre Rechte bis auf SYSTEM-Ebene ausweiten können.
ShieldBreak ist Teil eines seit längerem schwelenden Konflikts zwischen Microsoft und Nightmare Eclipse über Schwachstellen-Offenlegung und Bug-Bounty-Verfahren. Microsoft reagierte auf die Veröffentlichungen des Forschers mit Warnungen vor rechtlichen Schritten gegen Personen, die „böswillige Aktivitäten mit realem Schaden“ für Kunden verursachen. Das veranlasste Cybersicherheitsexperten zu der Einschätzung, das Unternehmen drohe dem Sicherheitsforscher direkt.
Seit April 2026 hat Nightmare Eclipse die Zero-Day-Exploits LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma und UnDefend veröffentlicht. Die Lücken betreffen laut Quelltext Microsoft Defender, BitLocker und verschiedene weitere Windows-Komponenten. Microsoft behob die RoguePlanet-Schwachstelle im Juli; YellowKey, GreenPlasma und MiniPlasma wurden im Rahmen des Patch Tuesday im Juni 2026 geschlossen. Für die übrigen von Nightmare Eclipse offengelegten Schwachstellen steht eine offizielle Fehlerbehebung demnach noch aus.
BleepingComputer hat nach eigenen Angaben einen Microsoft-Sprecher wegen des neuen Defender-0-Day ShieldBreak kontaktiert und den Bericht für den Fall einer Stellungnahme zur Aktualisierung angekündigt.