PoC ShieldBreak заявил об обходе патча Defender с правами SYSTEM
Исследователь Chaotic Eclipse опубликовал proof-of-concept ShieldBreak, который, по его утверждению, полностью обходит исправление Microsoft для CVE-2026-50656 с оценкой CVSS 7,8. Уязвимость RoguePlanet затрагивает Microsoft Defender for Windows: PoC проверяли на Windows 11 25H2, включая канал Canary, и Windows Server 2025. Автор заявил о 100-процентной успешности и возможности получить права SYSTEM.
Что известно о ShieldBreak
RoguePlanet исследователь раскрыл в июне 2026 года, а Microsoft выпустила исправление почти через месяц. Компания классифицировала проблему как повышение привилегий в Microsoft Malware Protection Engine, библиотеке mpengine.dll.
Исходная уязвимость описана как состояние гонки. При успешной эксплуатации атакующий мог запустить оболочку с уровнем SYSTEM, выполнять произвольный код или совершать несанкционированные действия.
После выхода патча Chaotic Eclipse сообщал, что добавленные Microsoft обновления защиты в ряде сценариев раскрывают восемь байт данных при попытке открыть файл на Windows 11 25H2 и Windows Server 2025. Microsoft тогда подтвердила, что знает об отчёте и проводит расследование.
Заявления о полном обходе исправления
ShieldBreak исследователь называет полным обходом патча для CVE-2026-50656 и утверждает, что Microsoft не устранила RoguePlanet должным образом. Windows 10 и соответствующие серверные редакции пока не поддерживаются опубликованным PoC, но автор также считает их уязвимыми.
Независимого подтверждения работоспособности ShieldBreak в опубликованных сведениях нет. Microsoft на момент публикации не представила ответ на запрос о новом PoC.
Другие исправления Windows
В том же наборе обновлений Microsoft исправила 421 проблему безопасности, из них 236 — в Windows. Среди них CVE-2026-62832, или LegacyHive, с CVSS 7,8: это локальное повышение привилегий в Windows User Profile Service, раскрытое Chaotic Eclipse месяцем ранее.
Microsoft также закрыла активно эксплуатируемую CVE-2026-68820 с CVSS 7,0 в Windows Ancillary Function Driver for WinSock. Эта ошибка может предоставить права SYSTEM; CISA добавила её в каталог Known Exploited Vulnerabilities и установила для федеральных ведомств США срок применения исправлений до 25 августа 2026 года. Контекст атак через уязвимости Windows дополняет цепочки ClickFix и инциденты с ИИ-агентами, где собраны сведения о цепочках ClickFix и инцидентах с ИИ-агентами.
Организациям следует проверить установку актуальных обновлений Windows, особенно для систем с Windows Server 2025 и Windows 11 25H2, а также следить за дальнейшими сообщениями Microsoft о ShieldBreak. Заявления автора PoC требуют учёта при оценке рисков, но не заменяют подтверждения вендора и штатные процедуры управления патчами.