ShieldBreak: Neuer Zero-Day-Exploit hebt Windows-Nutzer auf SYSTEM-Rechte

PoC greift Microsoft Defender an

Der Sicherheitsforscher Nightmare Eclipse, auch bekannt als Chaotic Eclipse, hat ShieldBreak während des Patch Tuesday im August 2026 veröffentlicht. Der PoC missbraucht Microsoft Defender, um einem Benutzer ohne erhöhte Rechte die Ausführung von Code mit SYSTEM-Rechten zu ermöglichen.

Betroffen sind vor allem aktuelle Versionen von Windows 11 sowie Windows Server 2025. Auch Windows 10 könnte verwundbar sein; genaue Versionen oder eine abschließende Liste betroffener Builds wurden jedoch nicht genannt.

Bei der Schwachstelle handelt es sich um eine lokale Rechteausweitung (Local Privilege Escalation, LPE). Ein Angreifer benötigt daher bereits ein Konto auf dem System, kann anschließend jedoch die höchstmögliche Kontrolle über das Gerät erlangen.

Technische Angriffskette über CFAPI und User-Mode-Callbacks

ShieldBreak nutzt die Art und Weise aus, wie Defender Dateien analysiert, die über die Cloud Filter API (CFAPI) per Cloud Hydration bereitgestellt werden. Die beschriebene Technik kombiniert mehrere Windows-Komponenten:

1. Ein temporäres Verzeichnis wird erstellt und als Cloud-Sync-Provider registriert.
2. In diesem Verzeichnis wird eine EICAR-Testdatei abgelegt.
3. Der von Defender analysierte Pfad wird auf System32 manipuliert.
4. CLFS ersetzt Identitäts- und Hydration-Datendateien durch phoneinfo.dll.
5. Die geplante Aufgabe QueueReporting wird gestartet.
6. wer.dll lädt phoneinfo.dll, die den Code des Angreifers enthält.
7. Die Payload startet conhost.exe mit SYSTEM-Rechten.

Der zentrale Punkt ist der User-Mode-Callback, der während des Scanvorgangs ausgeführt wird. Dadurch können die von der Angriffskette verwendeten Inhalte verändert werden, während Defender die Datei verarbeitet.

Verhältnis zu RoguePlanet bleibt umstritten

Nightmare Eclipse bezeichnet ShieldBreak als Umgehung von RoguePlanet, der unter CVE-2026-50656 geführten Schwachstelle. Diese Einordnung wird jedoch nicht von allen geteilt.

Will Dormann von Tharros Labs und Kevin Beaumont halten die beiden Exploits technisch für voneinander getrennt. RoguePlanet wird als Race Condition in Defender beschrieben: Dabei kommen virtuelle Laufwerke und native NT-Manipulationen zum Einsatz, um den Quarantäneprozess dazu zu bringen, Systemdateien zu überschreiben.

ShieldBreak verfolgt dagegen einen anderen Ansatz, der auf User-Mode-Callbacks und der Veränderung von Inhalten während des Cloud-Scanvorgangs beruht. Dormann weist außerdem darauf hin, dass der neue PoC offenbar einen aktiven Microsoft Defender voraussetzt, während dies bei RoguePlanet nicht der Fall war.

RoguePlanet wurde am 9. Juni veröffentlicht. Microsoft bestätigte die Ausnutzung am 16. Juni und stellte am 9. Juli Sicherheitsupdates bereit. Diese Updates werden nicht als Lösung für ShieldBreak genannt.

Maßnahmen für Administratoren

Für ShieldBreak wurde kein spezifischer Microsoft-Patch genannt. Die verfügbaren Updates sollten dennoch installiert werden, einschließlich der Korrekturen für RoguePlanet.

Zu überwachende Aktivitäten umfassen:

• ungewöhnliche Erstellung oder Änderung von Cloud-Sync-Providern;
• verdächtige Zugriffe auf System32;
• unerwartetes Vorhandensein von phoneinfo.dll;
• verdächtige CLFS-Aktivitäten;
• ungewöhnlicher Start der geplanten Aufgabe QueueReporting;
• Ausführung von conhost.exe mit SYSTEM-Rechten.

Kevin Beaumont hat spezielle Abfragen zur Erkennung von ShieldBreak veröffentlicht. Diese können in SIEM-Systeme oder EDR-Lösungen integriert werden.

Bisher wurden weder ein CVSS-Score noch aktive Exploit-Kampagnen oder reale, dem PoC zugeordnete Kompromittierungen gemeldet. Die Abhängigkeit von einem aktiven Defender kann die Verhaltensanalyse unterstützen, ist jedoch keine Empfehlung, die Antimalware-Lösung zu deaktivieren.