Lücke im Defender: Neuer Zero-Day-Exploit für Windows auf Github geleakt
Das von Microsoft versprochene "High-Quality-Update" zum Schutz vor dem Rogueplanet-Exploit ist offenbar doch nicht von so guter Qualität, wie der Konzern sich das erhofft hatte. Pünktlich zum August-Patchday hat der Sicherheitsforscher Chaotic Eclipse noch einmal nachgelegt und einen neuen Zero-Day-Exploit namens Shieldbreak veröffentlicht(öffnet im neuen Fenster), mit dem sich Microsofts Rogueplanet-Patch umgehen lassen soll.
Genau wie bei Rogueplanet ermöglicht Shieldbreak auf Windows-Systemen eine Rechteausweitung über den Microsoft Defender. Angreifer können mit dem Exploit weitreichende Systemrechte erlangen. Getestet hat Chaotic Eclipse das nur an Windows 11 25H2 und Windows Server 2025. Dabei soll er eine Erfolgsrate von 100 Prozent erreicht haben.
Der Forscher betont allerdings im zugehörigen Github-Repository(öffnet im neuen Fenster), dass grundsätzlich auch Windows 10 sowie die entsprechenden Windows-Server-Varianten anfällig für Shieldbreak sind. Diese Versionen unterstütze sein Exploit derzeit aber nicht. Wer den Exploit auf älteren Windows-Systemen testen will, muss also gegebenenfalls noch ein paar Änderungen am Code vornehmen.
Per Exploit zur System-Shell
Dass Shieldbreak funktioniert, bestätigt auch der Sicherheitsforscher Will Dormann in einem Beitrag auf Mastodon(öffnet im neuen Fenster). Als Beleg zeigt der Forscher einen Screenshot von einer System-Shell, die er durch die Ausführung des Exploits erhalten hat. Eine erfolgreiche Ausnutzung sei aber nur möglich, wenn der Defender auf dem Zielsystem aktiv sei, so Dormann. Dies ist allerdings auf den allermeisten Windows-Systemen der Fall.
Technische Details zu Shieldbreak erläuterten weder Dormann noch Chaotic Eclipse. Da es sich um einen Bypass für Microsofts Patch gegen Rogueplanet handelt, dürfte der neue Exploit aber weiterhin von einer Race Condition abhängig sein. Auch mit dem Rogueplanet-Exploit ließ sich diese aber schon zuverlässig gewinnen.
Wann Shieldbreak gepatcht wird, bleibt abzuwarten. Die neuen Updates vom August-Patchday sollen jedenfalls keinen Schutz bieten. Zum Schutz vor Rogueplanet hatte Microsoft Mitte Juni die Ausarbeitung eines "High-Quality-Updates" versprochen, welches der Konzern schließlich am 8. Juli mit einer aktualisierten Malware Protection Engine bereitstellte (CVE-2026-50656(öffnet im neuen Fenster)). Offenkundig ist die Qualität des Patches aber geringer als erwartet.
Ein Streit ohne sichtbares Ende
Shieldbreak ist nur einer von vielen Zero-Day-Exploits, die Chaotic Eclipse in den letzten Monaten veröffentlicht hat. Damit setzt der Forscher Microsoft erneut unter Druck. Als Begründung verwies er in der Vergangenheit wiederholt auf Streitigkeiten mit dem Microsoft Security Response Center (MSRC), zu denen er aber (vermutlich wegen einer Verschwiegenheitsvereinbarung) bisher keine Details nannte.
Nach mehreren Exploit-Leaks hatte Microsoft Chaotic Eclipse Ende Mai mit einer möglichen Strafverfolgung gedroht. Doch das brachte dem Konzern am Ende lediglich einen Shitstorm aus der Security-Community sowie einen auf der Defcon verliehenen Schampreis (Pwnie Award) ein, den kein Microsoft-Mitarbeiter freiwillig entgegennehmen wollte.
Nachtrag vom 13. August 2026, 15:55 Uhr
Auch der unabhängige Sicherheitsforscher Kevin Beaumont hat sich inzwischen auf Mastodon(öffnet im neuen Fenster) zu dem Shieldbreak-Exploit geäußert. Er betont, dass der Exploit technisch völlig anders funktioniere als Rogueplanet. Zudem hat Beaumont auf Github(öffnet im neuen Fenster) Erkennungsregeln veröffentlicht, mit denen Admins Shieldbreak-Angriffsversuche feststellen können. Dormann hat Shieldbreak mittlerweile ebenfalls genauer untersucht(öffnet im neuen Fenster) und bescheinigt dem Exploit erhebliche Unterschiede zu Rogueplanet.
- Anzeige Hier geht es zu Hacking & Security: Das umfassende Handbuch bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.