El zero-day ShieldBreak de Microsoft Defender permite elevar privilegios a SYSTEM

El 12 de agosto de 2026, el investigador de seguridad Nightmare Eclipse publicó ShieldBreak, un exploit de día cero contra Microsoft Defender que permite elevar privilegios hasta SYSTEM en sistemas Windows con el producto habilitado.

Según Nightmare Eclipse, ShieldBreak sortea el parche aplicado por Microsoft a la vulnerabilidad RoguePlanet, identificada como CVE-2026-50656. El investigador afirmó que la prueba de concepto alcanzó una tasa de éxito del 100 % en Windows 11 25H2, incluido el canal Canary, y Windows Server 2025. Windows 10 y sus ediciones Server no están soportados por la prueba, aunque también serían vulnerables.

Kevin Beaumont señaló que ambos fallos funcionan de forma distinta: RoguePlanet explotaba una condición de carrera del sistema de archivos, mientras que ShieldBreak utiliza un enlace de devolución de llamada en modo usuario para modificar contenidos durante un análisis de hidratación en la nube de Defender mediante la Cloud Filter API. Will Dormann, analista principal de vulnerabilidades de Tharros, confirmó que el exploit funciona y que requiere Microsoft Defender habilitado.

ShieldBreak se suma a otros exploits de día cero divulgados desde abril de 2026 por Nightmare Eclipse contra Microsoft Defender, BitLocker y distintos componentes de Windows. Microsoft ha corregido RoguePlanet, YellowKey, GreenPlasma y MiniPlasma, mientras que otros fallos continúan sin un parche oficial.

Microsoft declaró que conoce la vulnerabilidad comunicada y que está investigando la validez y aplicabilidad potencial de las afirmaciones. La compañía añadió que respalda la divulgación coordinada y que actualizará los productos afectados para proteger a sus clientes cuando corresponda.

Fuente: BleepingComputer.