Patch vom Patch geknackt: Microsoft Defender hat erneut ein Zero-Day-Problem

Microsoft bekommt eine Schwachstelle im Defender offenbar nicht dauerhaft geschlossen. Nachdem ShieldBreak bereits den Patch für RoguePlanet umgangen hatte, funktioniert nun auch der jüngste Fix nicht vollständig. ShieldCrash setzt die Serie fort.

Dritter Anlauf gegen dieselbe Problemklasse

Ausgangspunkt der ungewöhnlichen Serie ist die unter der Kennung CVE-2026-50656 geführte Schwachstelle RoguePlanet im Microsoft Malware Protection Engine. Sie ermöglichte eine lokale Rechteausweitung über den Windows Defender. Microsoft reagierte darauf im Juli mit einem Update für die Malware Protection Engine.

Lange hielt der Fix allerdings nicht. Bereits im August veröffentlichte der Sicherheitsforscher Nightmare Eclipse mit ShieldBreak einen neuen Machbarkeitsnachweis, der den Schutzmechanismus umging. Microsoft bestätigte die Schwachstelle später als CVE-2026-69414 und bewertete sie mit einem CVSS-Wert von 7,8. Betroffen waren Versionen der Microsoft Malware Protection Engine vor 1.1.26080.3.

Diese Version sollte ShieldBreak seit Anfang September eigentlich schließen. Nur wenige Tage später folgt nun allerdings ShieldCrash.

Der Forscher spricht ausdrücklich davon, dass Microsoft ShieldBreak nicht vollständig behoben habe. Unter bestimmten Bedingungen lasse sich weiterhin dasselbe grundlegende Problem auslösen. Microsoft habe zwar mehrere Möglichkeiten zur erneuten Ausnutzung beseitigt, dabei aber einen weiteren Angriffspfad übersehen.

Dateien mit SYSTEM-Rechten auslesen

Der veröffentlichte ShieldCrash-PoC demonstriert den Zugriff auf beliebige Dateien mit den Rechten des Windows-Systemkontos SYSTEM. Getestet wurde die Schwachstelle laut Entwickler mit den Windows-Versionen und Defender-Komponenten vom September 2026. Nach seiner Darstellung sind sämtliche aktuell unterstützten Windows-Versionen betroffen.

Der öffentlich bereitgestellte Code ist dabei zunächst ausdrücklich nur als eingeschränkter Machbarkeitsnachweis gedacht. Er zeigt das Auslesen von Dateien mit SYSTEM-Rechten, liefert aber beispielsweise noch keine beliebige Schreibmöglichkeit oder eine vollständige SYSTEM-Shell.

Nightmare Eclipse erklärte nach der Veröffentlichung allerdings, aus dem zugrunde liegenden Problem lasse sich auch eine vollständige Rechteausweitung entwickeln. Unter anderem soll sich dadurch die SAM-Datenbank von Windows auslesen lassen, in der Informationen zu lokalen Benutzerkonten gespeichert werden. Ein entsprechender vollständiger Exploit ist bislang allerdings nicht Bestandteil der veröffentlichten Dokumentation.

Damit ist auch die Bezeichnung als Zero-Day derzeit angebracht: Für ShieldCrash existiert bislang weder ein eigener CVE-Eintrag noch ein von Microsoft bestätigter Patch. Microsoft hat die neue Umgehung zum Zeitpunkt der Veröffentlichung zudem noch nicht öffentlich kommentiert.

Patch, Umgehung, Patch und wieder Umgehung

Bemerkenswert ist vor allem die Abfolge. RoguePlanet wurde im Juni öffentlich gemacht und im Juli geschlossen. ShieldBreak umging diesen Fix im August. Microsoft behob wiederum ShieldBreak Anfang September mit der Malware Protection Engine 1.1.26080.3. ShieldCrash zeigt nun wenige Tage später, dass auch dieser Schutz nicht vollständig greift.

Aus ursprünglich einer Schwachstelle ist damit eine Kette aus immer neuen Möglichkeiten geworden, Microsofts Gegenmaßnahmen zu umgehen. Alle drei Angriffsmethoden setzen am Microsoft Malware Protection Engine und damit ausgerechnet an einer besonders privilegierten Sicherheitskomponente von Windows an.

Dass ein Sicherheitsupdate einzelne bekannte Angriffsschritte verhindert, bedeutet dabei nicht zwangsläufig, dass auch die zugrunde liegende Problemklasse vollständig beseitigt wurde. Genau darauf deutet die Abfolge RoguePlanet, ShieldBreak und ShieldCrash derzeit hin.

Kein Angriff aus der Ferne

Für die praktische Gefährdung ist allerdings eine wichtige Einschränkung zu beachten: Es handelt sich nicht um eine klassische Remote-Code-Execution-Lücke, über die sich ein beliebiger Windows-PC allein über das Internet übernehmen lässt. Für die bisher demonstrierte Ausnutzung muss ein Angreifer bereits Code auf dem betroffenen Rechner ausführen können.

ShieldCrash kann anschließend dazu dienen, die hohen Berechtigungen des Defenders für Zugriffe zu missbrauchen, die einem normalen Benutzer eigentlich nicht offenstehen. Dadurch wird die Lücke insbesondere als Bestandteil einer größeren Angriffskette interessant.

Eine konkrete Gegenmaßnahme gegen ShieldCrash hat Microsoft bislang nicht veröffentlicht. Defender aktualisiert seine Malware Protection Engine normalerweise automatisch, weshalb ein späterer Fix voraussichtlich ebenfalls ohne klassischen Windows-Patch verteilt werden könnte. Bis dahin bleibt abzuwarten, ob Microsoft lediglich einen weiteren Angriffspfad schließen oder die Ursache hinter der mittlerweile dritten Variante grundsätzlicher angehen muss.