Die jetzt als CVE-2026-69414 geführte Schwachstelle betrifft laut Microsoft eine Rechteausweitung in der Microsoft Malware Protection Engine von Microsoft Defender. Das Unternehmen teilte mit, man arbeite an einem Sicherheitsupdate, das die Schwachstelle beheben soll. Weitere Informationen wolle Microsoft in dem CVE-Eintrag veröffentlichen, sobald das Update verfügbar ist.
Öffentlich gemacht wurde „ShieldBreak“ von dem unter dem Pseudonym „Nightmare Eclipse“ auftretenden Sicherheitsforscher. Er beschrieb die Lücke als vollständige Umgehung von „RoguePlanet“, der Defender-Schwachstelle CVE-2026-50656. Wörtlich erklärte der Forscher, Microsoft habe die RoguePlanet-Schwachstelle nicht korrekt behoben, und der vorgelegte Proof of Concept zeige eine vollständige Umgehung des Patches.
Nach Darstellung von Nightmare Eclipse kann der veröffentlichte Proof of Concept von lokalen Angreifern mit begrenzten Berechtigungen genutzt werden, um auf vollständig gepatchten Systemen SYSTEM-Rechte zu erlangen. Getestet worden sei der Code nach Angaben des Forschers auf der neuesten Version von Windows 11 25h2 einschließlich Canary-Kanal sowie auf Windows Server 2025. Für diese Umgebungen reklamierte der Forscher eine Erfolgsquote von 100 Prozent. Windows 10 und die entsprechenden Server-Editionen würden vom Proof of Concept derzeit zwar nicht unterstützt, seien aber ebenfalls für „ShieldBreak“ anfällig.
Der Schwachstellenanalyst Will Dormann bestätigte in der vergangenen Woche, dass der „ShieldBreak“-Exploit funktioniert. Er ergänzte jedoch, dass Microsoft Defender aktiviert sein müsse, damit Angreifer ihre Rechte ausweiten können.
Microsoft bestätigte die Schwachstelle am Freitag, drei Tage nach der Offenlegung, und erklärte gegenüber BleepingComputer: „Microsoft ist sich der gemeldeten Schwachstelle bewusst und untersucht aktiv die Gültigkeit und mögliche Anwendbarkeit dieser Angaben.“ Zudem betonte das Unternehmen, man verpflichte sich dazu, Sicherheitsprobleme zu untersuchen und betroffene Produkte so schnell wie möglich zu aktualisieren, um Kunden zu schützen.
Auffällig ist, dass Microsoft zwar die CVE-Kennung veröffentlichte und einen Patch ankündigte, aber bislang nicht anerkannt hat, dass Nightmare Eclipse die Schwachstelle entdeckt hat. Die Offenlegung erfolgte ohne vorherige Benachrichtigung an Microsoft. Hintergrund ist laut Quelltext ein andauernder Streit zwischen dem Forscher und dem Unternehmen über Verfahren zur Schwachstellenmeldung und die Bug-Bounty-Praxis.
Wenige Tage nachdem der Forscher mehrere Proof-of-Concept-Exploits ohne Vorwarnung veröffentlicht hatte, reagierte Microsoft mit Warnungen vor rechtlichen Schritten gegen Personen, die sich an „böswilligen Aktivitäten beteiligen, die den Kunden des Unternehmens realen Schaden zufügen“. Das führte laut Quelltext zu der Einschätzung vieler Beobachter, Microsoft habe damit den Sicherheitsforscher direkt bedroht.
Seit April hat Nightmare Eclipse mehrere Zero-Day-Exploits veröffentlicht, die auf Microsoft Defender, BitLocker und verschiedene andere Windows-Komponenten abzielen. Diese Lücken sind heute unter den Namen LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma und UnDefend bekannt. Microsoft behob YellowKey, GreenPlasma und MiniPlasma im Rahmen des Patch Tuesday im Juni 2026 sowie RoguePlanet im Juli. Die übrigen von Nightmare Eclipse veröffentlichten Sicherheitslücken sind weiterhin Zero-Days und warten noch auf einen offiziellen Patch.