// TOM'S HARDWARE ITALIA — CYBERSECURITY
ShieldBreak: ecco il malware che aggira Defender e diventa SYSTEM
Un processo con permessi limitati può arrivare al contesto NT AUTHORITY\SYSTEM anche su un PC Windows 11 aggiornato. È quanto dimostra ShieldBreak, il proof of concept pubblicato da Nightmare Eclipse per aggirare la correzione applicata da Microsoft alla vulnerabilità RoguePlanet. L’exploit sfrutta il motore di Microsoft Defender per ottenere il livello di privilegi più elevato normalmente disponibile in Windows.
ShieldBreak richiede che l’attaccante possa già eseguire codice sulla macchina. Non permette quindi di compromettere direttamente un computer da remoto: il punto d’appoggio iniziale potrebbe arrivare da malware, phishing, credenziali sottratte o un account locale compromesso. Da quella posizione, un aggressore potrebbe usare l’elevazione dei privilegi per assumere il controllo del sistema con autorizzazioni SYSTEM.
RoguePlanet, identificata come CVE-2026-50656, è una vulnerabilità di elevazione dei privilegi nel Microsoft Malware Protection Engine. Microsoft aveva distribuito un aggiornamento del motore di Defender per correggerla, ma Nightmare Eclipse descrive ShieldBreak come un bypass completo di quella protezione. La divulgazione è arrivata subito dopo il Patch Tuesday di agosto 2026, lasciando esposte al nuovo metodo anche macchine sulle quali erano stati installati tutti gli aggiornamenti disponibili.
Il ricercatore indica un funzionamento affidabile su Windows 11 25H2 e Windows Server 2025, le piattaforme effettivamente provate con il proof of concept. Viene ipotizzata un’esposizione più ampia, che resta però da verificare sugli altri rami di Windows. Kevin Beaumont ha inoltre riferito di essere riuscito a riprodurre l’elevazione dei privilegi su un sistema Windows 11 completamente aggiornato.
La pubblicazione del codice dimostrativo rende più semplice studiare e riprodurre il bypass. La sua disponibilità, tuttavia, non conferma che ShieldBreak sia già impiegato in attacchi reali. Lo scenario documentato riguarda una fase successiva all’accesso iniziale: l’exploit può essere concatenato ad altre tecniche, ma da solo non fornisce l’ingresso remoto nel sistema.
Alla pubblicazione della ricerca, Microsoft non aveva reso disponibile una nuova correzione specifica per ShieldBreak. La scheda ufficiale di CVE-2026-50656 continua a classificare RoguePlanet come vulnerabilità di elevazione dei privilegi e permette di controllare prodotti coinvolti e stato degli aggiornamenti. Il perimetro confermato del bypass resta per ora quello verificato su Windows 11 25H2 e Windows Server 2025.
Aggiungi Tom's Hardware alle tue fonti preferite su Google