Microsoft-Defender-PoC „ShieldCrash“ soll Schutzmaßnahme gegen „ShieldBreak“ umgehen

Ein Sicherheitsforscher hat Proof-of-Concept-Code veröffentlicht, der Berichten zufolge Microsofts Behebung einer Schwachstelle zur Rechteausweitung in der Microsoft Malware Protection Engine umgeht.

Der unter dem Namen Chaotic Eclipse bekannte Forscher bezeichnet die neue Technik als ShieldCrash. Sie zielt auf die Sicherheitsbedingung hinter CVE-2026-69414, auch bekannt als ShieldBreak, und soll es einem Angreifer ermöglichen, beliebige Dateien mit SYSTEM-Berechtigungen zu lesen.

Microsoft hat die ursprüngliche Schwachstelle in Version 1.1.26080.3 der Malware Protection Engine behoben. Chaotic Eclipse zufolge blockierte die Maßnahme mehrere Ausnutzungspfade, ließ jedoch eine weitere Stelle offen, an der derselbe grundlegende Fehler bei der Zugriffskontrolle weiterhin ausgelöst werden kann.

Microsoft hat ShieldCrash bislang nicht unabhängig als separate Schwachstelle dokumentiert. Es gibt keine eigenständige CVE-Kennung, keinen CVSS-Wert, keine Liste betroffener Versionen und keine Herstellerwarnung für den behaupteten Umgehungsangriff.

PoC zielt auf privilegierte Scan-Engine von Defender

Die betroffene Komponente ist die Microsoft Malware Protection Engine, die zentrale Scan-Technologie von Microsoft Defender. Ihre Binärdatei mpengine.dll übernimmt die Untersuchung, Erkennung und Bereinigung von Schadsoftware für Microsofts Antiviren- und Antispyware-Produkte.

Da die Engine sicherheitskritische Aufgaben mit erhöhten Berechtigungen ausführt, kann ein Fehler bei der Zugriffskontrolle die Grenze zwischen einem Konto mit eingeschränkten Rechten und dem Windows-SYSTEM-Kontext überschreiten.

Laut Chaotic Eclipse ermöglicht der ShieldCrash-PoC das Lesen beliebiger Dateien mit SYSTEM-Berechtigungen. Dadurch könnten Dateien offengelegt werden, auf die ein gewöhnlicher lokaler Benutzer nicht zugreifen kann, darunter geschützte Konfigurationsdaten, von Diensten gespeicherte Zugangsdaten oder Informationen anderer Konten.

Die Demonstration soll auf einem System mit der neuesten Windows-Version funktionieren. Der Forscher behauptet außerdem, dass alle unterstützten Windows-Desktopversionen von der Umgehung betroffen sind. Welche Windows-Editionen und Builds genau betroffen sind, wurde jedoch nicht mitgeteilt.

Es handelt sich um einen lokalen Angriff und nicht um eine netzwerkbasierte Kompromittierung aus der Ferne. Ein Angreifer muss zunächst grundlegenden Zugriff auf den Zielrechner erlangen oder in der Lage sein, Code als Benutzer mit eingeschränkten Rechten auszuführen.

Sobald dieser Zugang besteht, ist keine weitere Interaktion des Benutzers erforderlich.

ShieldCrash ist ein behaupteter Patch-Bypass und keine neue CVE

Microsoft veröffentlichte CVE-2026-69414 am 14. August 2026 und aktualisierte die zugehörige Warnung zuletzt am 3. September 2026. Das Unternehmen stuft ShieldBreak als wichtige Schwachstelle zur Rechteausweitung ein.

Die National Vulnerability Database ordnet die Schwachstelle zwei Kategorien von Schwächen zu:

• CWE-284: Improper Access Control
• CWE-269: Improper Privilege Management

Microsofts Warnung verwendet CWE-284, während der NVD-Eintrag zusätzlich die Kategorie für unzureichendes Privilegienmanagement aufführt.

Die zentrale Behauptung von Chaotic Eclipse lautet, dass Microsofts Korrektur die zugrunde liegende Sicherheitsbedingung nicht beseitigt habe. Stattdessen habe sie Berichten zufolge mehrere bekannte Wege zu dieser Bedingung verhindert, aber einen alternativen Auslöser an anderer Stelle in der Engine offengelassen.

Dieser Unterschied ist entscheidend. Eine vollständige Korrektur müsste die beabsichtigte Grenze zwischen den Berechtigungsstufen unabhängig davon durchsetzen, welcher Codepfad die betreffende Operation erreicht. Eine auf einzelne Pfade begrenzte Korrektur kann scheitern, wenn ein anderer Weg dasselbe sensible Verhalten ohne eine gleichwertige Validierung erreicht.

Vorerst bleibt ShieldCrash die Bezeichnung des Forschers für die behauptete Umgehung. Die verfügbaren Einträge von Microsoft und der NVD beziehen sich auf ShieldBreak und nicht auf eine separat anerkannte Schwachstelle. Daher lassen sich die offizielle Bewertung, die betroffenen Versionsbereiche und die CVSS-Kennzahlen nicht automatisch auf ShieldCrash übertragen.

Microsoft hat nicht bestätigt, ob der PoC die Engine-Version 1.1.26080.3 umgeht oder ob eine weitere Aktualisierung der Engine erforderlich ist.

CVE-2026-69414 erfordert lokalen Zugriff, kann aber weitreichende Folgen haben

CVE-2026-69414 hat einen CVSS-3.1-Basiswert von 7,8 mit folgendem Vektor:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Die Bewertung beschreibt einen Angriff, der lokalen Zugriff und geringe Berechtigungen erfordert, dessen Komplexität jedoch gering ist. Das Opfer muss weder auf eine Datei klicken noch eine Abfrage bestätigen oder eine andere Aktion durchführen.

Die hohen Bewertungen für Vertraulichkeit, Integrität und Verfügbarkeit spiegeln die möglichen Folgen einer erfolgreichen Rechteausweitung wider. Die ShieldCrash-Demonstration wurde bislang allerdings nur als Möglichkeit zum Lesen beliebiger Dateien beschrieben. Die weitergehenden Auswirkungen auf Integrität und Verfügbarkeit im CVSS-Vektor beziehen sich daher auf die offizielle CVE und nicht auf unabhängig bestätigte Fähigkeiten der Umgehung.

Microsoft nennt denselben Basiswert von 7,8 sowie einen zeitlichen Wert von 7,0. Der vollständige Vektor lautet:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:P/RL:O/RC:C

Die zeitlichen Metriken weisen auf öffentlich verfügbares Proof-of-Concept-Material, eine offizielle Korrektur und bestätigte Informationen über die ursprüngliche Schwachstelle hin.

Microsoft kennzeichnet CVE-2026-69414 als öffentlich bekannt und bewertet eine Ausnutzung als wahrscheinlicher, vermerkt in seiner Warnung jedoch keine bekannten Angriffe. Die Veröffentlichung eines funktionsfähigen PoC belegt für sich genommen keine Angriffe in freier Wildbahn.

Nach aktuellem Informationsstand vom 9. September 2026 ist nicht belegt, dass CVE-2026-69414 im Katalog der bekannten ausgenutzten Schwachstellen von CISA enthalten ist. Für diese Schwachstelle ist weder eine Frist zur Behebung durch CISA noch eine Kennzeichnung für den Einsatz durch Ransomware bekannt.

Microsoft war in den vergangenen 90 Tagen dennoch mit mehreren anderen Schwachstellen im KEV-Katalog vertreten: CVE-2026-85880 und CVE-2026-81963 am 8. September 2026, CVE-2019-1068 am 26. August 2026, CVE-2026-55040 und CVE-2026-33824 am 18. August 2026 sowie CVE-2026-68820 am 11. August 2026.

Unternehmen sollten die Engine-Versionen prüfen und sich nicht nur auf Windows-Patches konzentrieren

Microsoft nennt 1.26070.7 als letzte betroffene Version der Malware Protection Engine und 1.1.26080.3 als erste Version, die CVE-2026-69414 behebt.

Diese Aktualisierungen werden über Microsofts Infrastruktur für Antimalware-Updates verteilt. Sie sind nicht von einem herkömmlichen monatlichen Patch des Windows-Betriebssystems abhängig. Microsoft zufolge sollte keine Aktion seitens der Kunden erforderlich sein, wenn die automatischen Updates ordnungsgemäß funktionieren.

Sicherheitsteams sollten die Verteilung dennoch direkt überprüfen. Mindestens sollten sie:

1. Bestätigen, dass aktive Defender-Installationen die Engine-Version 1.1.26080.3 oder höher verwenden.
2. Geräte untersuchen, die weiterhin 1.26070.7 oder eine ältere Engine-Version melden.
3. Prüfen, ob Netzwerksteuerungen, Proxy-Einstellungen, Update-Richtlinien oder nicht verbundene Systeme die Antimalware-Updates unterbrochen haben.
4. Eine manuelle Suche nach Updates anstoßen, wenn die automatische Verteilung fehlgeschlagen ist.
5. Microsofts Hinweise auf eine Bestätigung von ShieldCrash und auf eine mögliche neue Engine-Baseline beobachten.

Microsoft veröffentlicht Aktualisierungen der Malware Protection Engine in der Regel monatlich oder sobald eine neu auftretende Bedrohung dies erfordert. Malwaredefinitionen werden normalerweise etwa dreimal täglich aktualisiert und bei Bedarf häufiger erneuert.

Die Aktualisierung auf 1.1.26080.3 bleibt die richtige Maßnahme für die offiziell dokumentierte CVE. Gewissheit über die Umgehungsbehauptung des Forschers bietet sie bislang jedoch nicht, da Microsoft keine speziell auf ShieldCrash bezogene Korrektur oder Testergebnisse veröffentlicht hat.

Deaktivierte Defender-Installationen können irreführende Scannergebnisse verursachen

Microsoft zufolge sind Systeme, auf denen Defender deaktiviert ist, über CVE-2026-69414 nicht ausnutzbar, auch wenn die betreffenden Binärdateien weiterhin installiert sein können.

Dies kann zu Fehlalarmen in Plattformen für das Schwachstellenmanagement führen. Ein Scanner kann mpengine.dll prüfen, eine alte Version erkennen und eine Gefährdung melden, ohne festzustellen, ob die Defender-Engine aktiv ist.

Administratoren sollten daher zwischen drei Zuständen unterscheiden:

• Defender ist aktiv und die Engine veraltet.
• Defender ist aktiv und die korrigierte Engine ist installiert.
• Defender ist deaktiviert, aber alte Binärdateien befinden sich weiterhin auf der Festplatte.

Im ersten Fall ist eine Behebung erforderlich. Im dritten Fall muss die Konfiguration überprüft werden; daraus darf nicht automatisch geschlossen werden, dass eine Ausnutzung möglich ist.

Teams sollten Defender nicht einfach als Workaround deaktivieren, ohne den damit verbundenen Verlust des Endpunktschutzes zu berücksichtigen. Als Maßnahme nennt Microsoft die Pflege aktueller Engine- und Definitionsupdates.

Der Forscher hat ähnliche Erkenntnisse zu Sicherheitsprodukten veröffentlicht

ShieldCrash ist Teil einer größeren Reihe von Veröffentlichungen von Chaotic Eclipse zu privilegierter Endpoint- und Sicherheitssoftware.

Der Forscher hat außerdem Material zu CrowdStrike Falcon Sensor unter dem Namen FalconFlank, zu Kaspersky unter dem Namen HardBreacher, zu Avast Antivirus unter dem Namen PrettyPrague und zu NVIDIA unter dem Namen GreenSection veröffentlicht.

Kaspersky und Avast haben die gemeldeten Probleme HardBreacher und PrettyPrague behoben. CrowdStrike teilte mit, FalconFlank zu untersuchen. Für GreenSection ist kein Status zu einer Korrektur bekannt.

Für Microsoft-Kunden besteht die unmittelbare Aufgabe darin, zu überprüfen, ob das offizielle ShieldBreak-Update alle aktiven Defender-Installationen erreicht hat, und anschließend eine Reaktion des Herstellers auf ShieldCrash zu beobachten. Solange Microsoft die Umgehung weder bestätigt noch zurückweist, sollten Unternehmen den PoC als glaubwürdige Forschungsbehauptung behandeln – nicht als Beleg für aktive Angriffe oder eine vollständig charakterisierte neue Schwachstelle.