Chaotic Eclipse hat Programmcode veröffentlicht, der eine erneut ausnutzbare Schwachstelle in Microsoft Defender belegt. Der unter dem Codenamen ShieldCrash geführte Fehler wird als Patch-Umgehung für CVE-2026-69414 bewertet, die mit einem CVSS-Wert von 7.8 eingestuft ist und vom selben Forscher im vergangenen Monat als ShieldBreak gemeldet wurde.
“Microsoft hat ShieldBreak, CVE-2026-69414, nicht korrekt behoben”, erklärte Chaotic Eclipse. “Unter bestimmten Bedingungen lässt sich noch immer exakt dasselbe Problem auslösen, das ShieldBreak verursacht hat. Microsoft hat zwar mehrere Dinge korrigiert, um eine erneute Ausnutzung zu verhindern, dabei aber eine Stelle übersehen, an der ShieldBreak weiterhin ausgenutzt werden kann.”
Der Proof-of-Concept demonstriert das beliebige Lesen von Dateien mit SYSTEM-Rechten auf einem System mit der neuesten Windows-Version. Nach Angaben des Forschers sind alle unterstützten Versionen des Desktop-Betriebssystems betroffen.
Die Veröffentlichung erfolgte wenige Tage, nachdem Microsoft ein Update für die Microsoft Malware Protection Engine bereitgestellt hatte, um CVE-2026-69414 zu schließen. Behoben wurde die Schwachstelle in Version 1.1.26080.3 der Engine. Ein Eingreifen der Kunden ist dafür nicht erforderlich; Systeme, auf denen Microsoft Defender deaktiviert ist, sind nicht betroffen.
Microsoft verwies auf den eigenen Update-Mechanismus: “Als Reaktion auf eine sich ständig verändernde Bedrohungslage aktualisiert Microsoft häufig die Malware-Definitionen und die Microsoft Malware Protection Engine”, so das Unternehmen. Damit Antischadsoftware wirksam vor neuen und verbreiteten Bedrohungen schützen könne, müsse sie zeitnah mit diesen Aktualisierungen versorgt werden.
Sowohl für Unternehmensumgebungen als auch für Endanwender sorge die Standardkonfiguration der Microsoft-Antischadsoftware dafür, dass Definitionen und Engine automatisch aktuell gehalten würden, erklärte der Konzern weiter. Auch die Produktdokumentation empfehle, die Produkte für automatische Aktualisierung zu konfigurieren.
ShieldCrash reiht sich in eine Serie von Veröffentlichungen desselben Forschers ein. In den vergangenen Wochen erschienen PoC-Exploits für vier Schwachstellen in CrowdStrike Falcon Sensor (FalconFlank), Kaspersky (HardBreacher), Avast Antivirus (PrettyPrague) und NVIDIA (GreenSection). HardBreacher und PrettyPrague wurden von den jeweiligen Herstellern inzwischen behoben. CrowdStrike teilte The Hacker News mit, dass die Meldung derzeit untersucht werde.