// COMPUTERBASE — CYBERSECURITY
Patch vom Patch geknackt: Microsoft Defender hat erneut ein Zero-Day-Problem
Microsoft bekommt eine Schwachstelle im Defender offenbar nicht dauerhaft geschlossen. Nachdem ShieldBreak bereits den Patch für RoguePlanet umgangen hatte, funktioniert nun auch der jüngste Fix nicht vollständig. ShieldCrash setzt die Serie fort.
Ausgangspunkt der ungewöhnlichen Serie ist die unter der Kennung CVE-2026-50656 geführte Schwachstelle RoguePlanet im Microsoft Malware Protection Engine. Sie ermöglichte eine lokale Rechteausweitung über den Windows Defender. Microsoft reagierte darauf im Juli mit einem Update für die Malware Protection Engine.
Lange hielt der Fix allerdings nicht. Bereits im August veröffentlichte der Sicherheitsforscher Nightmare Eclipse mit ShieldBreak einen neuen Machbarkeitsnachweis, der den Schutzmechanismus umging. Microsoft bestätigte die Schwachstelle später als CVE-2026-69414 und bewertete sie mit einem CVSS-Wert von 7,8. Betroffen waren Versionen der Microsoft Malware Protection Engine vor 1.1.26080.3.
Diese Version sollte ShieldBreak seit Anfang September eigentlich schließen. Nur wenige Tage später folgt nun allerdings ShieldCrash.
Der Forscher spricht ausdrücklich davon, dass Microsoft ShieldBreak nicht vollständig behoben habe. Unter bestimmten Bedingungen lasse sich weiterhin dasselbe grundlegende Problem auslösen. Microsoft habe zwar mehrere Möglichkeiten zur erneuten Ausnutzung beseitigt, dabei aber einen weiteren Angriffspfad übersehen.
Der veröffentlichte ShieldCrash-PoC demonstriert den Zugriff auf beliebige Dateien mit den Rechten des Windows-Systemkontos SYSTEM. Getestet wurde die Schwachstelle laut Entwickler mit den Windows-Versionen und Defender-Komponenten vom September 2026. Nach seiner Darstellung sind sämtliche aktuell unterstützten Windows-Versionen betroffen.
Der öffentlich bereitgestellte Code ist dabei zunächst ausdrücklich nur als eingeschränkter Machbarkeitsnachweis gedacht. Er zeigt das Auslesen von Dateien mit SYSTEM-Rechten, liefert aber beispielsweise noch keine beliebige Schreibmöglichkeit oder eine vollständige SYSTEM-Shell.
Nightmare Eclipse erklärte nach der Veröffentlichung allerdings, aus dem zugrunde liegenden Problem lasse sich auch eine vollständige Rechteausweitung entwickeln. Unter anderem soll sich dadurch die SAM-Datenbank von Windows auslesen lassen, in der Informationen zu lokalen Benutzerkonten gespeichert werden. Ein entsprechender vollständiger Exploit ist bislang allerdings nicht Bestandteil der veröffentlichten Dokumentation.
Damit ist auch die Bezeichnung als Zero-Day derzeit angebracht: Für ShieldCrash existiert bislang weder ein eigener CVE-Eintrag noch ein von Microsoft bestätigter Patch. Microsoft hat die neue Umgehung zum Zeitpunkt der Veröffentlichung zudem noch nicht öffentlich kommentiert.
Bemerkenswert ist vor allem die Abfolge. RoguePlanet wurde im Juni öffentlich gemacht und im Juli geschlossen. ShieldBreak umging diesen Fix im August. Microsoft behob wiederum ShieldBreak Anfang September mit der Malware Protection Engine 1.1.26080.3. ShieldCrash zeigt nun wenige Tage später, dass auch dieser Schutz nicht vollständig greift.