ShieldCrash връща проблема в Windows Defender и поставя под въпрос дали Microsoft отстранява първопричината или само затваря отделни пътища за атака
Microsoft отново се оказва в неприятната ситуация да защитава собствената си кръпка. Само ден след огромния септемврийски Patch Tuesday изследователят, известен като Nightmare Eclipse, публикува доказателство за концепция, наречено ShieldCrash, и твърди, че то заобикаля поправката на уязвимостта ShieldBreak – CVE-2026-69414.
Ако твърдението бъде потвърдено, проблемът е по-сериозен от поредната Windows уязвимост. Причината е последователността: RoguePlanet, ShieldBreak, ShieldCrash. Вместо една изолирана грешка се очертава верига от проблеми около начина, по който Windows Defender обработва файлове и привилегии.
От ниски привилегии до четене като SYSTEM
ShieldCrash според изследователя не представлява самостоятелен първоначален пробив. Атакуващият вече трябва да има възможност за локално изпълнение на код.
След това обаче PoC може да накара Defender да извърши произволно четене на файл с привилегиите на SYSTEM. Това е критичната част от сценария – процес с ниски привилегии потенциално получава достъп до данни, които нормално са извън неговия обхват.
Nightmare Eclipse твърди, че е тествал техниката върху Windows 11 25H2, включително Canary версии, както и Windows Server 2025, и че тя работи и върху поддържаните версии след септемврийските актуализации.
Тези твърдения към момента трябва да се разглеждат именно като твърдения на изследователя, а не като независимо потвърдена от Microsoft оценка.
Patch Tuesday вече не е краят на историята
Моментът на публикацията е особено показателен.
Microsoft току-що разпространи един от най-мащабните си месечни пакети за сигурност. Независими публикации също описват септемврийския Patch Tuesday като рекорден по мащаб, с над 650 поправки само за Windows.
Това променя и традиционния модел на управление на уязвимостите.
Преди логиката беше сравнително проста: Microsoft открива или получава информация за проблема → разработва кръпка → администраторите я инсталират → рискът намалява.
При ShieldCrash картината изглежда различно:
уязвимост → кръпка → заобикаляне → нова кръпка → ново заобикаляне.
Това е много по-опасният сценарий за корпоративните среди, защото създава разлика между „системата е актуализирана“ и „проблемът действително е елиминиран“.
Defender се превръща в част от атакуващата повърхност
Има и по-дълбок проблем.
Софтуерът за сигурност обикновено се възприема като защитен слой, който трябва да ограничава действията на нападателя. Но Defender, както всеки сложен компонент с високи привилегии, сам представлява значима част от атакуващата повърхност.
Когато компонент с достъп до SYSTEM бъде манипулиран да извърши операция вместо атакуващия, високите му привилегии могат да се превърнат от защитен механизъм в средство за заобикаляне на ограниченията.
Точно затова подобни уязвимости са особено чувствителни за корпоративните среди.
Microsoft е под все по-голям натиск
Историята с Nightmare Eclipse допълнително усложнява картината. От април изследователят последователно публикува Windows уязвимости и PoC разработки, като вече е използвал различни имена – Chaotic Eclipse, MSNightmare и Infinite Nightmare.
На 3 септември той насочи внимание и към CrowdStrike с PoC, наречен FalconFlank.
Така Patch Tuesday се превръща във все по-малко предвидим момент за администраторите. Публикуването на кръпката вече може да бъде само началото на нов цикъл от анализи, reverse engineering и опити за заобикаляне.
Това е особено важно с навлизането на ИИ в откриването на уязвимости. Същите технологии, които ускоряват намирането и поправянето на дефекти, могат да ускорят и търсенето на начини за заобикаляне на самите поправки.
Какво трябва да направят администраторите?
Първото правило остава непроменено: септемврийските актуализации трябва да бъдат инсталирани. Потенциалното заобикаляне на една кръпка не е аргумент срещу обновяването – напротив.
Но вече не е достатъчно да се гледа единствено дали даден KB пакет е инсталиран.
Организациите трябва да следят активното експлоатиране, новите PoC разработки, поведението на Defender и допълнителните ограничения върху локалното изпълнение на код и достъпа до чувствителни файлове.
Защото истинският проблем със ShieldCrash не е само дали един изследовател е успял да заобиколи една кръпка.
Проблемът е по-фундаментален:
Колко пъти една и съща защитна граница може да бъде „поправяна“, преди да се наложи да бъде преработена из основи?
