In der Cybersicherheitsbranche sorgt die Veröffentlichung eines neuen Proof-of-Concept-Exploits für Aufsehen, der eine kritische Sicherheitslücke im Windows Defender ausnutzt.
Der unter dem Pseudonym Nightmare Eclipse bekannte Sicherheitsforscher stellte das Werkzeug mit dem Namen „ShieldBreak“ am 13. August öffentlich zur Verfügung. Die Veröffentlichung erfolgt vor dem Hintergrund eines monatelangen Konflikts zwischen dem Forscher und Microsoft über die Offenlegung von Schwachstellen.
ShieldBreak nutzt eine als Zero-Day eingestufte Schwachstelle für eine lokale Rechteausweitung (Local Privilege Escalation) auf SYSTEM-Ebene aus. Betroffen sind nach Angaben des Forschers die Betriebssysteme Windows 10, Windows 11 sowie Windows Server 2025. Technisch basiert der Exploit auf der Schwachstelle CWE-59 innerhalb des Windows Defenders, einem Link-Folge-Fehler, der es unprivilegierten Benutzern ermöglicht, eine Shell mit den höchsten Systemberechtigungen zu erlangen.
Experten bestätigen Wirksamkeit der Schwachstelle
Die Funktionalität von ShieldBreak wurde bereits von unabhängigen Sicherheitsanalysten verifiziert. Kevin Beaumont und Will Dormann bestätigten die Wirksamkeit des Exploits auf aktuellen Installationen von Windows 11. Beaumont merkte hierbei an, dass sich der zugrunde liegende Mechanismus von der zuvor bekannten Schwachstelle „RoguePlanet“ unterscheidet.
Zur Unterstützung von IT-Sicherheitsabteilungen veröffentlichte Beaumont zudem Erkennungsabfragen, um potenzielle Angriffe identifizieren zu können. Dormann bestätigte ergänzend, dass der Exploit zuverlässig funktioniere, sofern der Windows Defender als Schutzmaßnahme aktiviert sei.
Angesichts der zunehmenden Cyberrisiken und neuer Bedrohungslagen ist es für Firmen entscheidend, die eigenen Sicherheitslücken proaktiv zu schließen. Dieser kostenlose Report klärt auf, welche rechtlichen Pflichten und Bedrohungen Unternehmer jetzt kennen müssen. Neue KI-Gesetze und Cyberrisiken: Jetzt Gratis-Report sichern
Nightmare Eclipse gibt für ShieldBreak eine Erfolgsrate von 100 % an. Der Exploit umgehe zudem gezielt den bereits veröffentlichten Patch für die Schwachstelle CVE-2026-50656 (RoguePlanet). Diese betraf Versionen der Malware Protection Engine, die älter als 1.1.26060.3008 waren, und wurde von Microsoft mit einem CVSS-Wert von 7,8 sowie von der National Vulnerability Database (NVD) mit 7,0 eingestuft.
Hintergrund der Veröffentlichung und Reaktion von Microsoft
Die Bereitstellung des Exploits ist der bisherige Höhepunkt einer Auseinandersetzung zwischen dem Forscher und dem Softwarekonzern. Berichten zufolge hatte Microsoft bereits im Mai rechtliche Schritte gegen Nightmare Eclipse angedroht, diese Drohung später jedoch wieder zurückgezogen.
Dennoch entschied sich der Forscher zur Veröffentlichung. Bei ShieldBreak handelt es sich um den zehnten Zero-Day-Exploit, den Nightmare Eclipse seit April dieses Jahres im Rahmen dieses Konflikts publik gemacht hat.
Da Cyberkriminelle gezielt psychologische Schwachstellen ausnutzen, ist eine umfassende Absicherung der Belegschaft für die IT-Sicherheit unerlässlich. Erfahren Sie in diesem kostenlosen Paket, wie Sie Ihr Unternehmen wirksam vor aktuellen Angriffsmethoden schützen können. Anti-Phishing-Paket für Unternehmen jetzt kostenlos herunterladen
Microsoft hat erklärt, den ShieldBreak-Exploit derzeit zu untersuchen. Ein offizieller Patch steht bislang nicht zur Verfügung. Zwar wurden im Rahmen des regulären Patchdays am 11. August insgesamt 421 Schwachstellen behoben, die nun veröffentlichte Lücke war jedoch nicht Teil dieses Update-Pakets.
Erste Tests von Fachmedien wie Tom’s Hardware deuten darauf hin, dass jüngste Systemaktualisierungen die Schwachstelle möglicherweise unbeabsichtigt beeinträchtigt haben könnten und der Windows Defender den Exploit inzwischen teilweise erkennt; eine abschließende Bestätigung durch Microsoft steht jedoch noch aus.
Steigende Anzahl kritischer Schwachstellen
Der Vorfall reiht sich in eine Statistik ein, die eine Zunahme von Sicherheitsrisiken in Microsoft-Umgebungen belegt. Im Jahr 2025 verdoppelte sich die Gesamtzahl der als kritisch eingestuften Schwachstellen bei dem Unternehmen auf 157. Dabei machen Schwachstellen zur Ausweitung von Berechtigungen (Elevation-of-Privilege) einen signifikanten Teil der Bedrohungslandschaft aus und repräsentieren 40 % aller gemeldeten Sicherheitslücken.
Eine technische Analyse des aktuellen Falls wurde unterdessen auch vom Sicherheitsanbieter ThreatLocker bereitgestellt, um Unternehmen bei der Einschätzung der Risiken zu unterstützen.
