ShieldBreak dribla correção do Defender no Windows

ShieldBreak é um PoC publicado por um pesquisador que afirma contornar o patch do Microsoft Defender associado à CVE-2026-50656, também identificada como RoguePlanet, e pode elevar privilégios até SYSTEM em Windows com Defender ativado. A técnica foi relatada pelo The Hacker News em 12 de agosto de 2026 e depois analisada por várias empresas e veículos especializados.

O que faz o PoC?

Segundo a Braincap, a técnica permite elevar privilégios até SYSTEM no Windows, mas exige que o atacante já tenha acesso local à máquina. O The Hacker News informou ainda que Will Dormann validou o PoC e indicou que o Defender precisa estar ativado para que o exploit funcione. A Computerworld acrescentou que o PoC entrega controle em nível de sistema a atacantes que já tenham conseguido acesso e que, segundo Steven Eric Fisher, haveria uma confirmação independente de que o ShieldBreak funciona.

Como funciona?

A Tanium detalhou que Nightmare, também referido como Chaotic Eclipse, publicou o ShieldBreak em 11 e 12 de agosto de 2026 como um PoC que reabre a mesma condição de corrida do RoguePlanet, mas com uma técnica diferente. A cadeia descrita combina o registro de um provedor de armazenamento em nuvem, o uso de CLFS e links simbólicos do Object Manager para substituir um arquivo de sistema reportado como phoneinfo.dll durante o processamento do Defender.

A SecurityWeek ampliou o fluxo técnico e informou que o exploit registra um diretório temporário como provedor de Cloud Sync, deposita um arquivo EICAR para forçar a varredura, manipula o CLFS para redirecionar metadados de hidratação para phoneinfo.dll no System32 e depois aciona a tarefa agendada QueueReporting para obter um shell com privilégios SYSTEM.

Qual é o alcance e o estado da mitigação?

A ThreatLocker descreveu o ShieldBreak como um PoC de desvio da correção da Microsoft para a CVE-2026-50656 e afirmou que, naquele momento, não havia um patch específico para o ShieldBreak. A SecurityArsenal concordou que não existia uma correção dedicada e que a mitigação dependia de controles compensatórios, endurecimento do Defender e regras personalizadas de detecção.

A Malware.news sustentou que o bypass funciona com taxa de sucesso de 100% no Windows 11 25H2, incluindo o canal Canary, e no Windows Server 2025, com confiabilidade superior à do exploit RoguePlanet original. O The Register acrescentou que o Windows 10 e suas edições de servidor continuam vulneráveis à mesma fraqueza subjacente, embora o PoC público não traga suporte oficial para essas versões.

O que diz o contexto da CVE?

A listagem oficial da NVD para a CVE-2026-50656 descreve o RoguePlanet como uma elevação de privilégios no Microsoft Malware Protection Engine do Microsoft Defender, reconhecida pela Microsoft. O Blogspan.net observou que o aviso de segurança associado a essa CVE não foi atualizado após a publicação do ShieldBreak e seguia na revisão 2.0 de 8 de julho de 2026, apesar de o PoC demonstrar uma elusão completa da correção.

A CyberWorldOps atribuiu o exploit a Chaotic Eclipse, INFINITE NIGHTMARE, MSNightmare e Nightmare-Eclipse, e o situou dentro de uma campanha contínua de publicação de zero-days contra o Microsoft Defender. O The Register, por sua vez, citou Kevin Beaumont para qualificar que o ShieldBreak se apresenta como um bypass direto do RoguePlanet, mas que seu modo de operação é tecnicamente diferente do exploit original.