Nur wenige Stunden nach der Bereitstellung der turnusmäßigen Sicherheitsupdates zum Patchday im September 2026 hat ein Sicherheitsforscher eine funktionierende Umgehung für eine frisch behandelte Schwachstelle im Microsoft Defender publik gemacht. Der unter den Pseudonymen Nightmare Eclipse und Chaotic Eclipse bekannte Akteur veröffentlichte einen funktionsfähigen Proof-of-Concept-Exploit mit dem Namen ShieldCrash. Dieser setzt direkt an den Schutzmaßnahmen an, die Microsoft gegen die Schwachstelle CVE-2026-69414 implementiert hatte.
Umgehung des Updates für die Malware Protection Engine
Die ursprüngliche Sicherheitslücke in der Microsoft Malware Protection Engine – der Kernkomponente des Windows-eigenen Virenscanners – war unter dem Codenamen ShieldBreak bekannt geworden und von Microsoft mit einem CVSS-Score von 7,8 bewertet worden. Zur Bereinigung des Problems hatte das Unternehmen das Update auf die Engine-Version 1.1.26080.3 freigegeben. Diese Komponente wird auf Windows-Systemen üblicherweise ohne manuelles Eingreifen von Administratoren oder Nutzern im Hintergrund aktualisiert.
Der neu veröffentlichte Exploit ShieldCrash demonstriert jedoch, dass die vorgenommenen Anpassungen unvollständig sind. Gelingt es einem Angreifer, lokalen Programmcode mit niedrigen Benutzerrechten auf einem Zielsystem auszuführen, erlaubt die Schwachstelle das unberechtigte Auslesen beliebiger geschützter Systemdateien mit vollen SYSTEM-Rechten. Bei diesem sogenannten „arbitrary file read as SYSTEM“ können auch hochgradig sensible Daten wie die lokale SAM-Datenbank (Security Account Manager) abgegriffen werden, in der unter anderem Kennwort-Hashes gespeichert sind.
Alle modernen Windows-Plattformen betroffen
Chaotic Eclipse kritisierte die Nachbesserung des Softwareherstellers deutlich und erklärte zur Veröffentlichung: „Microsoft has failed to properly patch ShieldBreak CVE-2026-69414, under specific conditions it is still possible to trigger the exact same problem that was caused by ShieldBreak. While Microsoft fixed several things to prevent re-exploiting the issue, they missed a spot where ShieldBreak can still be exploited.“
Nach Angaben des Forschers erstreckt sich die Verwundbarkeit über sämtliche derzeit unterstützten Plattformen des Herstellers, darunter Windows 10, Windows 11 sowie das Server-Betriebssystem Windows Server 2025. Der veröffentlichte Code stellt laut dem Autor zunächst ein funktionales Grundgerüst dar: „This PoC demonstrates an arbitrary file read as SYSTEM with September 2026, all supported windows versions are affected. I might rework this later into a full SYSTEM PoC but for now I’m dropping this skeleton PoC because I’m feeling a bit lazy.“ Ein solches Gerüst genügt Angreifern in Angriffsketten jedoch häufig bereits, um an Anmeldedaten zu gelangen und weitergehende Rechteausweitungen vorzubereiten.
Konflikt um Bug-Bounty-Prämien und Kündigungen
Hinter der schnellen Veröffentlichung steht eine länger anhaltende, öffentlich ausgetragene Konfrontation zwischen dem anonymen Sicherheitsforscher und Microsoft. Der Forscher, der im Netz auch unter den Namen MSNightmare sowie INFINITE NIGHTMARE agiert, liegt mit dem Konzern über die Zuerkennung von Prämien im Rahmen des Bug-Bounty-Programms im Streit. Zudem waren Zugänge des Forschers zu Microsofts Meldeportalen gekündigt worden. Microsoft hatte in der Vergangenheit im Zusammenhang mit diesem Konflikt bereits rechtliche Schritte gegen potenziell schädigende und bösartige Aktivitäten angedroht.
Sicherheitslücken in Antiviren- und Schutzsoftware gelten prinzipiell als besonders kritisch, da diese Programme mit weitreichenden Privilegien im Betriebssystem verankert sind. Kann eine solche Sicherheitskomponente manipuliert werden, besteht die Gefahr, dass sie selbst zum Einfallstor wird. Durch den Zugriff auf geschützte Systemdateien wie die SAM-Datenbank wird es lokalen Akteuren ermöglicht, administrative Anmeldedaten zu extrahieren, was innerhalb von Unternehmensnetzwerken eine erhebliche Bedrohung für nachgelagerte Systeme darstellt.