Der Kern des neuen Exploits ist nach Darstellung des Forschers ein unvollständiger Patch. “Microsoft hat ShieldBreak CVE-2026-69414 nicht ordentlich behoben; unter bestimmten Bedingungen lässt sich weiterhin exakt dasselbe Problem auslösen, das ShieldBreak verursacht hat”, erklärte Nightmare Eclipse. “Microsoft hat zwar mehrere Dinge korrigiert, um eine erneute Ausnutzung zu verhindern, aber eine Stelle übersehen, an der ShieldBreak weiterhin ausnutzbar ist.”
Der Proof-of-Concept ist ausdrücklich unfertig. “Dieser PoC demonstriert einen beliebigen Dateizugriff als SYSTEM mit dem Stand September 2026, alle unterstützten Windows-Versionen sind betroffen”, so der Forscher. “Ich arbeite ihn vielleicht später zu einem vollständigen SYSTEM-PoC um, aber vorerst veröffentliche ich dieses Gerüst, weil ich gerade ein bisschen faul bin.”
In der Praxis bedeutet das: Angreifer können auf vollständig aktualisierten Installationen von Windows 10, Windows 11 und Windows Server SYSTEM-Privilegien erlangen, erhalten dabei jedoch keinen Schreibzugriff auf das betroffene System.
Die Veröffentlichung reiht sich in einen offen ausgetragenen Konflikt ein. Nightmare Eclipse begründet die Serie von Zero-Day-Veröffentlichungen mit Kritik an Microsofts Bug-Bounty-Programm und dem Umgang des Unternehmens mit Schwachstellenmeldungen. Microsoft reagierte darauf mit dem Hinweis auf mögliche rechtliche Schritte gegen jeden, der sich an “böswilligen Aktivitäten mit tatsächlichem Schaden” für seine Kunden beteilige — eine Formulierung, die viele Beobachter als direkte Drohung gegen den Forscher lasen.
Seit April hat der anonyme Forscher eine ganze Reihe von Zero-Days offengelegt, die auf Microsoft Defender, BitLocker und weitere Windows-Komponenten zielen: ShieldBreak, LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma und UnDefend. Microsoft hat davon ShieldBreak, RoguePlanet, YellowKey, GreenPlasma und MiniPlasma behoben; für die übrigen Lücken gibt es bislang keinen offiziellen Patch.
Damit setzt sich eine Kette fort, in der jeder Patch die Grundlage für die nächste Umgehung liefert: RoguePlanet wurde im Juni bekannt und im Juli geschlossen, ShieldBreak umging diese Korrektur und wurde am Donnerstag gepatcht, ShieldCrash hebelt nun wiederum diesen Fix aus. Eine Stellungnahme von Microsoft zu ShieldCrash lag BleepingComputer zum Zeitpunkt der Anfrage nicht vor.