Il PoC ShieldCrash sostiene di aggirare la correzione ShieldBreak

Un ricercatore di sicurezza ha pubblicato codice proof-of-concept che, secondo quanto riferito, aggira la correzione rilasciata da Microsoft per una vulnerabilità di escalation dei privilegi nel Microsoft Malware Protection Engine.

Il ricercatore, noto come Chaotic Eclipse, ha chiamato la nuova tecnica ShieldCrash. Il metodo prende di mira la condizione di sicurezza alla base di CVE-2026-69414, nota anche come ShieldBreak, e consentirebbe a un attaccante di leggere file arbitrari con privilegi SYSTEM.

Microsoft ha corretto la vulnerabilità originale nella versione 1.1.26080.3 del Malware Protection Engine. Chaotic Eclipse sostiene tuttavia che la correzione abbia bloccato diversi percorsi di sfruttamento, lasciando aperto un altro punto in cui è ancora possibile attivare la stessa condizione di controllo degli accessi.

Microsoft non ha documentato in modo indipendente ShieldCrash come vulnerabilità distinta. Non esistono un identificativo CVE separato, un punteggio CVSS, un elenco delle versioni interessate o un avviso del fornitore specifici per il presunto bypass.

Il PoC prende di mira il motore di scansione privilegiato di Defender

Il componente vulnerabile è il Microsoft Malware Protection Engine, la tecnologia di scansione principale utilizzata da Microsoft Defender. Il file binario mpengine.dll gestisce le operazioni di analisi, rilevamento e rimozione del malware per i prodotti antivirus e antispyware di Microsoft.

Poiché il motore svolge attività sensibili per la sicurezza con privilegi elevati, una carenza nel controllo degli accessi può oltrepassare il confine tra un account con privilegi limitati e il contesto Windows SYSTEM.

Secondo Chaotic Eclipse, il PoC ShieldCrash consente la lettura arbitraria di file con autorità SYSTEM. Un accesso di questo tipo potrebbe esporre file che un normale utente locale non può aprire, tra cui dati di configurazione protetti, credenziali memorizzate dai servizi o informazioni appartenenti ad altri account.

Secondo quanto riferito, la dimostrazione funziona su un sistema che esegue l'ultima versione di Windows. Il ricercatore sostiene inoltre che il bypass interessi tutte le versioni desktop supportate di Windows, anche se non sono state rese note le edizioni e le build precise.

Si tratta di un attacco locale, non di una compromissione remota condotta attraverso la rete. Un attaccante deve prima ottenere un accesso di base alla macchina bersaglio o riuscire a eseguire codice come utente con privilegi limitati.

Dopo aver ottenuto questo punto d'appoggio, non è necessaria alcuna interazione da parte dell'utente.

ShieldCrash è una dichiarazione di bypass della patch, non una nuova CVE

Microsoft ha pubblicato CVE-2026-69414 il 14 agosto 2026 e ha aggiornato l'avviso il 3 settembre 2026. L'azienda classifica ShieldBreak come una vulnerabilità Importante di escalation dei privilegi.

Il National Vulnerability Database associa la vulnerabilità a due categorie di debolezze:

• CWE-284: controllo degli accessi improprio
• CWE-269: gestione impropria dei privilegi

L'avviso di Microsoft utilizza CWE-284, mentre il record NVD aggiunge la classificazione relativa alla gestione impropria dei privilegi.

La tesi centrale di Chaotic Eclipse è che la correzione di Microsoft non abbia eliminato la condizione di sicurezza vulnerabile. Avrebbe invece impedito diversi modi noti per raggiungerla, lasciando disponibile un percorso alternativo in un'altra parte del motore.

La distinzione è importante. Una correzione completa dovrebbe applicare il confine di privilegi previsto indipendentemente dal percorso di codice che raggiunge l'operazione interessata. Una correzione specifica per un singolo percorso può rivelarsi inefficace se un'altra strada conduce allo stesso comportamento sensibile senza controlli equivalenti.

Per ora, ShieldCrash resta il nome utilizzato dal ricercatore per indicare il presunto bypass. I record disponibili di Microsoft e dell'NVD riguardano ShieldBreak, non una vulnerabilità riconosciuta separatamente. Di conseguenza, la gravità ufficiale, gli intervalli di versioni interessate e le metriche CVSS non possono essere assegnati automaticamente a ShieldCrash.

Microsoft non ha confermato se il PoC aggiri la versione 1.1.26080.3 del motore o se sia necessario un ulteriore aggiornamento del motore.

CVE-2026-69414 richiede accesso locale, ma può avere un impatto elevato

CVE-2026-69414 ha un punteggio base CVSS 3.1 pari a 7,8, con il seguente vettore:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

La valutazione descrive un attacco che richiede accesso locale e privilegi bassi, ma presenta una bassa complessità di sfruttamento. Non è necessario che la vittima faccia clic su un file, approvi una richiesta o esegua un'altra azione.

I valori elevati relativi a riservatezza, integrità e disponibilità riflettono le potenziali conseguenze di un'escalation dei privilegi riuscita. La dimostrazione di ShieldCrash è stata descritta tuttavia solo come una tecnica per leggere file arbitrari; gli effetti più ampi su integrità e disponibilità indicati nel vettore CVSS si riferiscono quindi alla CVE ufficiale, non a capacità del bypass verificate in modo indipendente.

Microsoft riporta lo stesso punteggio base di 7,8 e un punteggio temporale di 7,0. Il vettore completo è:

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:P/RL:O/RC:C

Le metriche temporali indicano la disponibilità pubblica di materiale proof-of-concept, l'esistenza di una correzione ufficiale e la presenza di informazioni confermate sulla vulnerabilità originale.

Microsoft contrassegna CVE-2026-69414 come divulgata pubblicamente e valuta lo sfruttamento come Più probabile, ma nel suo avviso non registra casi di sfruttamento noti. La pubblicazione di un PoC funzionante non dimostra di per sé che siano in corso attacchi reali.

Al 9 settembre 2026, le informazioni disponibili non stabiliscono che CVE-2026-69414 sia inclusa nel catalogo Known Exploited Vulnerabilities di CISA. Non sono note scadenze di intervento fissate da CISA né l'inserimento della vulnerabilità tra quelle utilizzate a fini di ransomware.

Negli ultimi 90 giorni, tuttavia, diverse altre vulnerabilità di Microsoft sono state aggiunte al catalogo KEV: CVE-2026-85880 e CVE-2026-81963 l'8 settembre 2026; CVE-2019-1068 il 26 agosto 2026; CVE-2026-55040 e CVE-2026-33824 il 18 agosto 2026; e CVE-2026-68820 l'11 agosto 2026.

Le organizzazioni devono verificare le versioni del motore, non solo le patch di Windows

Microsoft identifica 1.26070.7 come l'ultima versione interessata del Malware Protection Engine e 1.1.26080.3 come la prima versione che risolve CVE-2026-69414.

Questi aggiornamenti vengono distribuiti attraverso l'infrastruttura di aggiornamento antimalware di Microsoft. Non dipendono da una normale patch mensile del sistema operativo Windows e Microsoft afferma che, quando gli aggiornamenti automatici funzionano normalmente, non dovrebbe essere necessaria alcuna azione da parte dei clienti.

I team di sicurezza dovrebbero comunque verificare direttamente la distribuzione. Come minimo, dovrebbero:

1. Confermare che le installazioni attive di Defender utilizzino la versione del motore 1.1.26080.3 o una successiva.
2. Analizzare i dispositivi che continuano a segnalare 1.26070.7 o una versione precedente del motore.
3. Verificare se i controlli di rete, le impostazioni proxy, i criteri di aggiornamento o i sistemi disconnessi abbiano interrotto gli aggiornamenti antimalware.
4. Avviare una verifica manuale degli aggiornamenti nei casi in cui la distribuzione automatica non sia riuscita.
5. Monitorare le indicazioni di Microsoft per eventuali conferme su ShieldCrash e per conoscere una nuova versione di riferimento del motore.

Microsoft rilascia generalmente aggiornamenti del Malware Protection Engine ogni mese o quando una minaccia emergente lo richiede. Le definizioni del malware vengono normalmente aggiornate circa tre volte al giorno e possono essere aggiornate più frequentemente quando necessario.

Raggiungere la versione 1.1.26080.3 resta la risposta corretta alla CVE documentata ufficialmente. Non offre però ancora certezze sulla tesi del ricercatore relativa al bypass, perché Microsoft non ha pubblicato una correzione o un risultato di test specifici per ShieldCrash.

Le installazioni di Defender disabilitate possono produrre risultati fuorvianti degli scanner

Microsoft afferma che i sistemi in cui Defender è disabilitato non sono sfruttabili attraverso CVE-2026-69414, anche se i relativi file binari possono rimanere installati.

Questo può generare falsi positivi nelle piattaforme di gestione delle vulnerabilità. Uno scanner potrebbe esaminare mpengine.dll, rilevare una versione obsoleta e segnalare un'esposizione senza verificare se il motore di Defender sia attivo.

Gli amministratori dovrebbero quindi distinguere tra tre condizioni:

• Defender è attivo e il motore è obsoleto.
• Defender è attivo e il motore corretto è installato.
• Defender è disabilitato, ma i vecchi file binari restano sul disco.

La prima condizione richiede un intervento correttivo. La terza richiede una verifica della configurazione, non la conclusione automatica che lo sfruttamento sia possibile.

I team non dovrebbero disabilitare Defender come semplice soluzione alternativa senza considerare la perdita della protezione degli endpoint. La mitigazione indicata da Microsoft consiste nel mantenere aggiornati il motore e le definizioni.

Il ricercatore ha pubblicato risultati simili su altri prodotti di sicurezza

ShieldCrash fa parte di una serie più ampia di divulgazioni di Chaotic Eclipse relative a software per endpoint e prodotti di sicurezza dotati di privilegi elevati.

Il ricercatore ha pubblicato materiale anche su CrowdStrike Falcon Sensor con il nome FalconFlank, su Kaspersky con il nome HardBreacher, su Avast Antivirus con il nome PrettyPrague e su NVIDIA con il nome GreenSection.

Kaspersky e Avast hanno corretto i problemi segnalati HardBreacher e PrettyPrague. CrowdStrike ha dichiarato di stare indagando su FalconFlank. Non sono note informazioni sullo stato della correzione di GreenSection.

Per i clienti Microsoft, il compito immediato è più circoscritto: verificare che l'aggiornamento ufficiale ShieldBreak abbia raggiunto ogni installazione attiva di Defender e attendere una risposta del fornitore su ShieldCrash. Finché Microsoft non confermerà né respingerà il bypass, le organizzazioni dovrebbero considerare il PoC una tesi di ricerca credibile, non una prova di sfruttamento attivo o di una nuova vulnerabilità già definita in ogni suo aspetto.