Il ricercatore di sicurezza noto come Nightmare Eclipse ha pubblicato il 12 agosto 2026 i dettagli di ShieldBreak, una vulnerabilità zero-day in Windows Defender che consente l'escalation di privilegi locali fino a SYSTEM. La divulgazione arriva senza preavviso a Microsoft e in piena escalation di un conflitto in corso: a maggio 2026 l'azienda aveva minacciato azioni legali contro i ricercatori che pubblicano vulnerabilità al di fuori delle policy coordinate, mentre gli account GitHub e GitLab del ricercatore sono stati disabilitati. Con Proof of Concept verificato indipendentemente e nessuna patch disponibile, ShieldBreak espone immediatamente sistemi Windows 10, Windows 11 (inclusa 25H2) e Windows Server 2025.
- ShieldBreak sfrutta Windows Defender attivo per default per scalare privilegi da utente limitato a SYSTEM, con PoC pubblicamente verificato dal ricercatore indipendente Will Dormann.
- La vulnerabilità è il bypass di una patch precedente: Microsoft aveva già corretto RoguePlanet (CVE-2026-50656, CVSS 7.8) ma il fix è risultato insufficiente secondo il ricercatore.
- Microsoft non ha ricevuto preavviso per ShieldBreak; al 12 agosto dichiarava di essere "aware of the reported vulnerability and is actively investigating".
- Il conflitto tra Nightmare Eclipse e Microsoft include minacce legalhe MSRC di maggio 2026, account bannati su GitHub/GitLab, e accuse reciproche su gestione disclosure.
ShieldBreak: come funziona il nuovo attacco
ShieldBreak opera attraverso Windows Defender, l'antimalware integrato attivo di default su ogni installazione Windows moderna. Il ricercatore Nightmare Eclipse ha progettato l'exploit per sfruttare l'engine di protezione e la piattaforma antimalware di Microsoft, componenti che girano con privilegi elevati per poter scansionare e quarantenare file in tutto il sistema.
Secondo DDay.it, il meccanismo consente di "scalare i privilegi da utente con permessi limitati fino ad arrivare a ottenere il controllo totale della macchina". TechCrunch ha ottenuto verifica indipendente dal ricercatore Will Dormann, che ha confermato sia il funzionamento dell'exploit sia la condizione necessaria: Windows Defender deve essere attivo affinché la vulnerabilità si manifesti. Questo elemento rende ShieldBreak particolarmente pervasivo, poiché disabilitare Defender richiede a sua volta privilegi amministrativi su sistemi enterprise gestiti.
Il ricercatore ha pubblicato Proof of Concept funzionante sul proprio repository. Non emergono nel dossier dettagli sul vettore d'attacco specifico (improper link resolution, caricamento hive registry o altro meccanismo), ma il pattern ricorrente nelle advisory Microsoft per vulnerabilità simili suggerisce insufficiente granularità di controllo accessi nei componenti che interagiscono con file system e configurazioni di sistema a livello SYSTEM.
Un bypass che mette in discussione le patch precedenti
ShieldBreak non è un exploit isolato. DDay.it lo descrive come "un'evoluzione di un altro exploit trovato da Nightmare Eclipse, RoguePlanet", per cui "il fix di Microsoft non è affatto efficace". Questo pattern — vulnerabilità corretta, poi bypassata con tecnica affine — indica una root cause non adeguatamente addressata nella remediation originaria.
Le advisory ufficiali Microsoft confermano la serie. CVE-2026-50656 (RoguePlanet), patchata con l'aggiornamento del Microsoft Malware Protection Engine alla versione 1.1.26060.3008, presenta CVSS 7.8 HIGH con vettore AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H: attacco locale, complessità bassa, privilegi utente standard sufficienti, nessuna interazione utente richiesta. CVE-2026-33825 (BlueHammer), precedente nella stessa catena, ha identico CVSS 7.8 e è stata corretta con Microsoft Defender Antimalware Platform 4.18.26030.3011.
Il dossier non documenta se Microsoft abbia assegnato un identificatore CVE a ShieldBreak al momento della divulgazione. La fonte ufficiale CVE-2026-62832 elenca 1 CVE (secondo la pagina advisory Microsoft), ma questa vulnerabilità — denominata LegacyHive e corretta nel Patch Tuesday di agosto 2026 — è distinta da ShieldBreak. WindowsBlogItalia e KrebsOnSecurity collegano LegacyHive alla stessa campagna di divulgazione di Nightmare Eclipse, non alla zero-day del 12 agosto.
"Non stavo bluffando con Microsoft e lo sto facendo di nuovo." — Nightmare Eclipse
Il conflitto MSRC: da policy legali a account bannati
La divulgazione di ShieldBreak inserisce un nuovo capitolo in una crisi di fiducia già in corso tra Nightmare Eclipse e il Microsoft Security Response Center. A maggio 2026, Microsoft aveva pubblicato un post MSRC minacciando "azioni legali" contro ricercatori che pubblicano zero-day al di fuori delle policy di coordinated disclosure. IlSoftware.it riporta che l'azienda si era dichiarata "pronta a collaborare con le forze dell'ordine e ad avviare azioni giudiziarie".
Le conseguenze per il ricercatore sono state concrete: Microsoft ha disabilitato gli account GitHub e GitLab associati a Nightmare Eclipse, come documentato da IlSoftware.it. Il ricercatore ha risposto con citazioni pubbliche sarcastiche: "Inoltre, un enorme ringraziamento alla dirigenza dell'MSRC per aver reso tutto questo possibile!!! E un ringraziamento speciale a Tom Gallagher!". Altre dichiarazioni citate da WindowsBlogItalia includono: "A differenza delle volte precedenti, non spiegherò come funziona, voi geni lo scoprirete da soli".
Microsoft, dal canto suo, mantiene posizione formale. La stessa fonte WindowsBlogItalia cita dichiarazioni MSRC secondo cui le vulnerabilità precedenti "RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma e MiniPlasma non sono state divulgate in modo responsabile" e che l'azienda "rimane fermamente contraria a queste azioni e a qualsiasi divulgazione non coordinata che possa danneggiare i nostri clienti e l'ecosistema digitale". TechCrunch riporta che il post minatorio di maggio è stato successivamente "walked back" sui social, segnalando tensione interna sulla comunicazione.
Il dossier non specifica l'entità precisa delle minacce legali ricevute da Nightmare Eclipse (lettera formale, comunicazione verbale, ambito giurisdizionale), né se Microsoft abbia confermato in modo indipendente che le vulnerabilità precedenti siano state effettivamente sfruttate in attacchi reali come sostiene il ricercatore.
Il Patch Tuesday di agosto: volume record e LegacyHive
La divulgazione di ShieldBreak è cronologicamente serrata: il 12 agosto 2026, un giorno dopo il Patch Tuesday di agosto. KrebsOnSecurity documenta un volume eccezionale per quel rilascio: quasi 398 patch, di cui 42 con rating critico. Il mese precedente, luglio 2026, aveva già segnato un record con circa 500 patch. In questo contesto di saturazione, CVE-2026-62832 (LegacyHive) è stata segnalata da Microsoft come "likely to be exploited".
La sovrapposizione temporale solleva interrogativi su capacità di prioritizzazione: con un flusso di quasi 400 correzioni, la capacità di Microsoft di individuare e rispondere a varianti bypass di flaw già patchati può essere messa in tensione. Il dossier non documenta se LegacyHive e ShieldBreak condividano componenti tecnici o siano completamente indipendenti; WindowsBlogItalia e KrebsOnSecurity suggeriscono correlazione nella campagna di divulgazione, non necessariamente nel meccanismo.
Cosa fare adesso
- Monitorare lo stato degli account Nightmare Eclipse e repliche del PoC: dopo i ban su GitHub/GitLab, il codice exploit potrebbe essere ridistribuito su mirror non ufficiali; il dossier non documenta se il repository originale sia ancora accessibile o replicato.
- Verificare la versione di Microsoft Malware Protection Engine e Antimalware Platform: le patch precedenti (CVE-2026-50656, CVE-2026-33825) richiedono engine 1.1.26060.3008 o superiore e platform 4.18.26030.3011 o superiore; l'aggiornamento automatico di Defender dovrebbe gestirli, ma la conformità va verificata su sistemi air-gapped o con policy di update bloccate.
- Attendere advisory specifico per ShieldBreak: Microsoft dichiara di essere "actively investigating"; nessuna data di rilascio patch è documentata nel dossier al 12-13 agosto 2026.
- Valutare il profilo di rischio locale: il vettore è local privilege escalation, quindi l'exposizione più critica è su sistemi dove attori non amministrativi già dispongono di accesso esecutivo, o dove la catena di attacco include compromissione preliminare via phishing o altro vettore iniziale.
Una crisi che trascende la singola vulnerabilità
ShieldBreak è tecnicamente un EoP locale in un componente di sicurezza: non il caso più eclatante per magnitudo, ma estremamente rilevante per posizionamento e contesto. Windows Defender è l'antimalware di default su miliardi di endpoint; non può essere disabilitato facilmente in ambienti enterprise; la sua presenza è assunta come protezione, non come superficie d'attacco. Quando il guardiano diventa il vettore, il modello di fiducia dell'utente si inverte.
La lettura più ampia riguarda il modello di coordinated vulnerability disclosure con Microsoft. Le minacce legali di maggio 2026, i ban degli account, la divulgazione pubblica senza preavviso: ogni passaggio alimenta un ciclo di escalation che danneggia entrambe le parti e, per estensione, gli utenti finali esposti. Il ricercatore ottiene visibilità e pressione, ma a costo di esporre sistemi non coinvolti nella disputa. Microsoft difende processi e clienti, ma la gestione delle segnalazioni precedenti — documentata come pattern di patch insufficienti — alimenta la narrativa di un vendor che rema contro i propri interessi di sicurezza.
Il dossier non documenta impatti in-the-wild di ShieldBreak né timeline di correzione. Ciò che emerge con chiarezza è una frattura strutturale: il ricercatore considera esaurita ogni via di dialogo, Microsoft non ha ricevuto preavviso per una vulnerabilità in un componente critico. L'esito immediato è esposizione zero-day con PoC verificato; l'esito a medio termine, per il settore, è un potenziale effetto chilling sui ricercatori che valutano se segnalare a un vendor che ha esplicitamente minacciato azioni legali.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.dday.it/redazione/58367/un-ricercatore-in-guerra-con-microsoft-sta-rendendo-pubbliche-le-vulnerabilita-zero-day-di-windows
- https://www.windowsblogitalia.com/2026/08/windows-vulnerabilita-0-day-ricercatore/
- https://techcrunch.com/2026/08/12/after-microsoft-threatened-legal-action-a-security-researcher-publishes-a-new-windows-zero-day-bug/
- https://www.ilsoftware.it/microsoft-contro-ricercatori-scontro-zero-day-windows/
- https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-62832
- https://msrc.microsoft.com/update-guide/en-US/advisory/CVE-2026-50656
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-33825
- https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-50656
- https://krebsonsecurity.com/2026/08/microsoft-plugs-nearly-400-security-holes/