ShieldBreak aggira la patch RoguePlanet e riporta Defender a SYSTEM

🛡️ Executive Summary

• Nightmare Eclipse pubblica ShieldBreak e sostiene che la patch di CVE-2026-50656 non chiuda completamente il percorso di escalation privilegi in Defender.
• Il PoC è stato testato su Windows 11 25H2, Canary e Windows Server 2025 con Defender attivo, ottenendo SYSTEM secondo il ricercatore.
• Microsoft non aveva ancora pubblicato una nuova CVE o una correzione specifica per ShieldBreak al momento della disclosure del 12 agosto.

Microsoft Defender torna al centro di una nuova disclosure zero-day poche settimane dopo la correzione di RoguePlanet. Il ricercatore noto come Nightmare Eclipse, già autore di numerose vulnerabilità contro Defender e altri componenti Windows, ha pubblicato ShieldBreak, proof-of-concept che sostiene di aggirare completamente le mitigazioni introdotte da Microsoft per CVE-2026-50656. La falla precedente permetteva a un utente locale di sfruttare il Malware Protection Engine per ottenere privilegi SYSTEM; ShieldBreak viene presentato come un percorso capace di raggiungere lo stesso risultato anche sui sistemi aggiornati. Il PoC è pubblico, ma al momento della disclosure Microsoft non aveva ancora assegnato una nuova CVE né pubblicato una patch specifica per il bypass.

ShieldBreak viene presentato come bypass completo di RoguePlanet

La fonte primaria è il repository pubblico ShieldBreak di MSNightmare, dove il ricercatore afferma esplicitamente che Microsoft non avrebbe corretto completamente RoguePlanet e definisce il nuovo PoC un “full patch bypass”. Nel README viene indicato che l’exploit è stato provato sulla versione più recente di Windows 11 25H2, incluso il Canary Channel, e su Windows Server 2025, con una percentuale di successo dichiarata del 100% negli ambienti testati. Il ricercatore aggiunge che Windows 10 e le corrispondenti edizioni Server sarebbero anch’esse vulnerabili, pur non essendo supportate direttamente dal PoC pubblicato. Queste ultime indicazioni devono restare attribuite all’autore della disclosure: non costituiscono ancora una conferma indipendente di Microsoft. La nuova tecnica arriva dopo che RoguePlanet era stata corretta da Microsoft a luglio come CVE-2026-50656.

CVE-2026-50656 era stata classificata come elevation of privilege

RoguePlanet era stata divulgata nel giugno 2026 e successivamente identificata da Microsoft come CVE-2026-50656, vulnerabilità High con punteggio CVSS 7.8 nel Microsoft Malware Protection Engine. Il difetto consentiva a un utente locale autenticato di sfruttare una race condition e manipolazioni del filesystem per ottenere l’esecuzione di codice con privilegi SYSTEM. Microsoft aveva distribuito la correzione quasi un mese dopo la disclosure iniziale, aggiornando il motore Defender e introducendo modifiche defense-in-depth.

Matrice Digitale aveva seguito la vicenda già quando RoguePlanet risultava ancora priva di patch nel Patch Tuesday di giugno e successivamente quando Microsoft aveva confermato di essere al lavoro sulla remediation. ShieldBreak riapre quindi un problema che sembrava chiuso con l’aggiornamento di luglio.

Defender deve essere attivo perché il PoC possa funzionare

Un elemento importante emerso dalle verifiche indipendenti riguarda il prerequisito principale: Microsoft Defender deve essere abilitato perché ShieldBreak possa usare il comportamento del motore antivirus come primitiva di escalation. Il vulnerability analyst Will Dormann ha dichiarato di aver verificato il funzionamento del PoC su un sistema aggiornato, confermando proprio questa dipendenza da Defender. Questo dettaglio rafforza la natura paradossale della vulnerabilità: il componente progettato per proteggere il sistema viene utilizzato come parte del percorso che porta l’attaccante verso SYSTEM. Non significa però che ShieldBreak costituisca una RCE remota o una compromissione pre-authentication. Il modello resta quello di una local privilege escalation, quindi l’attaccante deve prima essere in grado di eseguire codice nel contesto di un normale utente.

SYSTEM trasforma un accesso locale in controllo completo

Il passaggio da un utente standard a NT AUTHORITY\SYSTEM ha conseguenze molto superiori al semplice ottenimento di privilegi amministrativi. SYSTEM permette di modificare file protetti, installare servizi, manipolare processi privilegiati, intervenire sulle configurazioni di sicurezza e stabilire forme di persistenza difficili da rimuovere. In un attacco reale, una vulnerabilità di questo tipo viene generalmente utilizzata dopo l’accesso iniziale, ottenuto per esempio attraverso phishing, credenziali rubate, malware o vulnerabilità applicative. È la stessa dinamica già osservata con BlueHammer e RedSun contro Microsoft Defender, dove il prodotto di sicurezza diventava il passaggio necessario per trasformare un foothold limitato in compromissione completa dell’endpoint.

Il PoC pubblico riduce la distanza dalla weaponization

ShieldBreak non è soltanto una descrizione teorica: il codice proof-of-concept è pubblicamente disponibile su GitHub, insieme al progetto Visual Studio, alla DLL utilizzata nella dimostrazione e ai file necessari per riprodurre il comportamento. Questo non dimostra che la vulnerabilità sia già sfruttata in campagne reali, ma abbassa significativamente la barriera per ricercatori, red team e potenziali attaccanti interessati a validare il bypass. Al momento non risultano evidenze pubbliche di exploitation in-the-wild né un inserimento nel catalogo CISA KEV. La distinzione rimane essenziale: PoC pubblico, exploit funzionante ed exploit attivamente utilizzato sono tre condizioni differenti. Proprio per questo la priorità difensiva deve essere elevata senza trasformare automaticamente la disclosure in un attacco già osservato.

La correzione RoguePlanet aveva già mostrato segnali di complessità

La vicenda non nasce completamente dal nulla. Dopo il fix di CVE-2026-50656, Nightmare Eclipse aveva già sostenuto che le modifiche defense-in-depth introdotte da Microsoft potessero provocare una perdita di 8 byte di memoria in alcune condizioni su Windows 11 25H2 e Windows Server 2025. Microsoft aveva dichiarato di essere a conoscenza del report e di stare investigando. ShieldBreak viene ora presentato come un problema più grave: non una semplice regressione o information disclosure, ma un percorso completo che ristabilisce l’escalation a SYSTEM. Questo passaggio deve però essere verificato formalmente da Microsoft prima di poter stabilire se ShieldBreak rappresenti una nuova vulnerabilità indipendente, un incomplete patch, una variante dello stesso bug o una diversa combinazione di primitive.

Nightmare Eclipse continua una lunga serie di disclosure Windows

ShieldBreak si inserisce in una sequenza di pubblicazioni che nel 2026 ha coinvolto BlueHammer, RedSun, UnDefend, YellowKey, GreenPlasma, MiniPlasma, LegacyHive e RoguePlanet. Alcune sono state successivamente corrette e assegnate a CVE, altre hanno generato un confronto acceso tra il ricercatore e Microsoft sulle procedure di disclosure e bug bounty. Matrice Digitale aveva già ricostruito la serie di exploit Defender e BitLocker collegati a Nightmare Eclipse, evidenziando come il filo comune sia spesso l’abuso di componenti Windows privilegiati, race condition e meccanismi di recovery o remediation. ShieldBreak mantiene lo stesso schema generale: invece di attaccare direttamente il kernel, induce un processo già altamente privilegiato a effettuare operazioni favorevoli all’attaccante.

Il Patch Tuesday di agosto non includeva una correzione per ShieldBreak

La tempistica rende la disclosure particolarmente delicata. Microsoft ha pubblicato il Patch Tuesday di agosto 2026 l’11 agosto, correggendo centinaia di vulnerabilità e tre zero-day, compresa la falla AFD.sys CVE-2026-68820 già sfruttata da Lazarus. ShieldBreak viene reso pubblico immediatamente dopo quel ciclo, quindi non è incluso negli aggiornamenti appena distribuiti. Al momento della pubblicazione del PoC non risultava disponibile un advisory MSRC dedicato e Microsoft non aveva ancora comunicato una remediation specifica. Questo significa che un sistema pienamente aggiornato con le patch di agosto può comunque rientrare nello scenario descritto dal ricercatore se le condizioni tecniche del PoC sono soddisfatte. Il contrasto è evidente con il Patch Tuesday di agosto, che aveva appena chiuso tre zero-day Windows.

Disabilitare Defender non è una mitigazione accettabile

Poiché il PoC utilizza Defender come parte del percorso d’attacco, la tentazione più immediata potrebbe essere considerare la disattivazione del prodotto come mitigazione temporanea. Non è una strategia difensiva consigliabile, perché elimina la protezione antimalware e aumenta significativamente il rischio complessivo dell’endpoint. In assenza di una patch specifica, le organizzazioni devono piuttosto ridurre la possibilità che un aggressore ottenga l’esecuzione locale iniziale: application control, blocco degli eseguibili non attendibili, restrizioni sui download, EDR, privilegi minimi e monitoraggio delle attività anomale del filesystem diventano più importanti. È inoltre opportuno verificare rapidamente eventuali aggiornamenti del Malware Protection Engine, perché Microsoft può distribuire correzioni Defender indipendentemente dal normale Patch Tuesday attraverso i normali canali di aggiornamento delle security intelligence e del motore.

ShieldBreak conferma che anche la patch deve essere trattata come una superficie da verificare

Il punto più importante della disclosure non riguarda soltanto la singola vulnerabilità, ma il rischio dei patch bypass. Correggere una primitiva non garantisce necessariamente che l’intera classe di attacco sia stata eliminata: se il percorso logico che porta un processo SYSTEM a operare su risorse controllabili dall’utente resta raggiungibile attraverso una variante, l’attaccante può aggirare la correzione senza dover trovare un bug completamente nuovo. ShieldBreak sostiene proprio questo scenario per RoguePlanet. Finché Microsoft non pubblicherà la propria analisi tecnica, il claim deve restare attribuito al ricercatore; la riproduzione indipendente del PoC rende però il problema sufficientemente concreto da richiedere attenzione immediata. La serie BlueHammer → RoguePlanet → ShieldBreak mostra come Microsoft Defender sia diventato nel 2026 non soltanto un meccanismo di protezione, ma anche una superficie privilegiata che i ricercatori continuano a interrogare per trasformare operazioni legittime dell’antivirus in primitive di escalation.