Im Zentrum der Debatte steht CVE-2026-50656. Hinter der Bezeichnung „RoguePlanet“ verbirgt sich laut Quelltext eine Race-Condition-Schwachstelle in Microsoft Defender, die Nightmare Eclipse am 9. Juni als Zero-Day veröffentlicht hatte. Microsoft bestätigte den Exploit am 16. Juni und stellte am 9. Juli Korrekturen bereit.
Nightmare Eclipse beschreibt „ShieldBreak“ als einen Bypass für diese bereits behobene Schwachstelle. Der neue PoC ziele auf Microsoft Defender und ermögliche es beliebigen Benutzern, System-Rechte zu erlangen. Nach Angaben des Forschers läuft der Exploit auf den neuesten Windows-11-Versionen sowie auf Windows Server 2025 und dürfte wahrscheinlich auch Windows 10 betreffen.
Wie der Angriff technisch funktioniert, hat Will Dormann von Tharros Labs analysiert. Demnach richtet „ShieldBreak“ zunächst ein temporäres Verzeichnis ein, das als Cloud-Sync-Anbieter registriert wird. Anschließend wird eine EICAR-Datei platziert, der Scan-Pfad von Defender auf System32 gelenkt und über Windows CLFS die Identitätsdatei samt Hydration-Daten gegen eine Datei namens „phoneinfo.dll“ in System32 ausgetauscht. Danach wird die geplante Aufgabe „QueueReporting“ ausgeführt.
Dormann beschreibt auch den entscheidenden Moment der Ausführung: „Im Code von wer.dll gibt es eine explizite Anweisung, phoneinfo.dll zu laden, die unter Windows standardmäßig nicht existiert. Weil phoneinfo.dll zu diesem Zeitpunkt existiert und unser eigener Code ist, wird er ausgeführt und startet conhost.exe mit System-Rechten.“
Sowohl Dormann als auch Kevin Beaumont widersprechen jedoch der Behauptung, „ShieldBreak“ sei ein RoguePlanet-Bypass. Beaumont, der Erkennungsabfragen für den neuen PoC veröffentlicht hat, verweist darauf, dass beide Exploits unterschiedlich arbeiten. Seine Beschreibung von RoguePlanet: Es handle sich um eine Race-Condition-Schwachstelle im Dateisystem, die virtuelle Datenträger und native NT-Dateimanipulation nutze, um den Quarantäneprozess dazu zu bringen, Systemdateien zu überschreiben.
„ShieldBreak“ funktioniere dagegen anders, so Beaumont. Der Exploit nutze einen Callback-Hook im Benutzermodus, um während eines Defender-Cloud-Hydration-Scans über die Cloud Filter API Dateiinhalte zu verändern. Damit sei die technische Grundlage eine andere als bei RoguePlanet.
Auch Dormann sieht einen weiteren Unterschied: „ShieldBreak scheint zu erfordern, dass Defender aktiv ist, damit es funktioniert“, während das bei RoguePlanet nicht der Fall gewesen sei. Die von Nightmare Eclipse behauptete direkte Umgehung von RoguePlanet wird damit von zwei externen Fachleuten ausdrücklich infrage gestellt.