“Unter bestimmten Bedingungen lässt sich exakt dasselbe Problem auslösen, das ShieldBreak verursacht hat”, schreibt Nightmare-Eclipse in der README-Datei des ausführlichen GitHub-Beitrags zu ShieldCrash. Microsoft habe mehrere Dinge korrigiert, um eine erneute Ausnutzung zu verhindern, dabei aber eine Stelle übersehen, an der ShieldBreak weiterhin funktioniere.
Die Veröffentlichung setzt eine Serie fort: Seit April bringt der Forscher Monat für Monat Exploits für Windows-Schwachstellen heraus, darunter RoguePlanet, YellowKey, GreenPlasma und MiniPlasma. Häufig folgt auf einen Microsoft-Patch prompt ein neuer Exploit, der den Fix aushebelt. ShieldBreak selbst war bereits ein Bypass für Microsofts Korrekturen gegen RoguePlanet, eine Race-Condition-Schwachstelle, die am Patch Tuesday im Juni 2026 veröffentlicht wurde.
Der Konflikt begann im April mit der Veröffentlichung des Zero-Day-Exploits BlueHammer und geht auf Unstimmigkeiten über Fehlermeldungen an den Softwarekonzern zurück. Zwischenzeitlich schien Microsoft rechtliche Schritte gegen den Forscher anzudrohen – eine Haltung, die in der Sicherheitsgemeinschaft weitgehend auf Ablehnung stieß. Nightmare-Eclipse lässt sich davon offenbar nicht beeindrucken und terminiert die Veröffentlichungen weiterhin auf Microsofts monatliche Patch-Termine, was Angreifern Wochen Zeit zur Waffenschmiede lassen kann, sofern der Hersteller keine Patches außerhalb des Zyklus liefert.
“Ich hasse es, wenn zwei Gruppen sich streiten, die eigentlich zusammenarbeiten sollten”, sagt John Strand, Inhaber von Black Hills Information Security, gegenüber Dark Reading. “Auf der einen Seite wirkt das kleinlich von Microsoft, und es wirkt kleinlich von MSNightmare. Es ist traurig, denn wir sollten zusammenarbeiten, statt uns mit Egos zu beschäftigen.”
Für Ensar Seker, CISO beim Threat-Intelligence-Anbieter SOCRadar, legt ShieldCrash eine wiederkehrende Schwäche in der Art offen, wie Microsoft diesen Angriffspfad behoben hat. “Wenn Forscher aufeinanderfolgende Fixes für RoguePlanet und ShieldBreak umgehen können, deutet das darauf hin, dass die zugrunde liegende Sicherheitsgrenze beziehungsweise Angriffsfläche eher eine umfassendere Neugestaltung erfordert als einen weiteren eng zugeschnittenen Patch”, sagt er.
Nach eigener Prüfung des Exploits relativiert Seker allerdings die Wirkung: Er verschaffe Angreifern “noch keine vollständige SYSTEM-Shell und keine Möglichkeit zum beliebigen Schreiben”, erlaube aber auf vollständig gepatchten Windows-Systemen das beliebige Lesen von Dateien im SYSTEM-Sicherheitskontext. Nightmare-Eclipse widersprach dieser Einschätzung am Mittwoch auf X: Es handle sich um “eine vollständige Rechteausweitung, nicht bloß um ein beliebiges Lesen von Dateien”. Und weiter: “Ich bin neugierig, ob jemand daraus einen vollständigen Exploit machen kann, bevor ich es tue.”
Auch ein reiner Lesezugriff bleibe gefährlich, betont Seker: Er könne hochsensible Dateien offenlegen, auf die ein normaler Nutzer keinen Zugriff hat, darunter Konfigurationsdaten, Zugangsdaten oder andere Geheimnisse – und damit zum Baustein einer größeren Angriffskette werden.
Windows Defender aus Sorge um dessen Sicherheit abzuschalten, hält Seker für den falschen Weg. Stattdessen sollten Sicherheitsteams die Hinweise von Microsoft und die Defender-Intelligence-Updates aufmerksam verfolgen, den Manipulationsschutz aktivieren, lokale Ausführung und administrative Zugriffe einschränken und nach verdächtigen Prozessen suchen, die über Defender-Mechanismen mit geschützten Dateien interagieren. Da nun öffentlicher Exploit-Code vorliegt, müsse damit gerechnet werden, dass Angreifer ihn für Zugangsdatendiebstahl, Persistenz oder eine vollständige Rechteausweitung nutzen. Microsoft solle zudem “die komplette Schwachstellenklasse und die zugehörigen Codepfade bewerten, nicht nur die konkrete Bedingung, die dieser jüngste Proof of Concept zeigt”.