Die Kette reicht mittlerweile über drei Patchdays. RoguePlanet, eine Race Condition in Microsoft Defender, wurde am Juni-Patchday 2026 als Zero-Day veröffentlicht; Microsoft schloss die Lücke unter der Kennung CVE-2026-50656 am 19. Juli. Bereits am August-Patchday folgte mit ShieldBreak eine Umgehung dieser Korrektur. Microsoft bestätigte den Fehler am 14. August und lieferte am 3. September Korrekturen aus; er wird als CVE-2026-69414 geführt.
Genau diese Korrekturen greifen nach Darstellung von Nightmare Eclipse zu kurz. Der Forscher bezeichnet Microsofts Patches für ShieldBreak als unvollständig und veröffentlichte ShieldCrash als praktischen Nachweis, dass der Defekt weiterhin ausnutzbar ist – auf Windows-Systemen, die die September-Patches 2026 eingespielt haben.
Der Proof-of-Concept zeigt zunächst nur das Auslesen beliebiger Dateien mit System-Rechten. Dem Forscher zufolge lässt sich die Schwachstelle aber zu vollen System-Privilegien ausbauen. Damit wäre etwa das Auslesen der SAM-Datenbank möglich, in der Windows lokale Kontoinformationen ablegt.
Ensar Seker, CISO bei SOCRadar, sieht das eigentliche Problem weniger im einzelnen Exploit als im Muster dahinter. „Wenn Forscher aufeinanderfolgende Korrekturen für RoguePlanet und ShieldBreak umgehen können, deutet das darauf hin, dass die zugrunde liegende Sicherheitsgrenze oder Angriffsfläche eher einen umfassenderen Neuentwurf benötigt als einen weiteren eng zugeschnittenen Patch", sagte Seker.
Seker rät Sicherheitsteams, Microsofts Hinweise und die Defender-Intelligence-Updates zu verfolgen, Manipulationsschutz zu aktivieren, administrative Zugriffe und lokale Ausführungspfade einzuschränken sowie auf auffälliges Prozessverhalten im Umfeld von Defender-Mechanismen zu achten. An Microsoft gerichtet ergänzte er: „Microsoft sollte zudem die gesamte Schwachstellenklasse und die zugehörigen Codepfade bewerten, nicht nur die konkrete Bedingung, die dieser jüngste Proof of Concept demonstriert."
Nightmare Eclipse ist bereits mehrfach mit der Veröffentlichung von Zero-Day-Exploits in Erscheinung getreten, unter anderem für Produkte von CrowdStrike, Nvidia und Avast. Der aktuelle Fall folgt unmittelbar auf Microsofts September-Patchday, an dem der Konzern nach Angaben von SecurityWeek 974 Schwachstellen und damit eine Rekordzahl behoben hatte, darunter zwei aktiv ausgenutzte Zero-Days.
Eine Stellungnahme von Microsoft zu ShieldCrash liegt bislang nicht vor. SecurityWeek hat den Hersteller um eine Äußerung gebeten.