Обнаружена уязвимость ShieldBreak в Windows Defender, позволяющая повысить привилегии до уровня system

Исследователь безопасности, находящийся в конфликте с Microsoft, опубликовал сведения о новой уязвимости в Windows Defender, которая может быть использована для атак на ПК.

Во вторник исследователь под псевдонимом Nightmare Eclipse объявил об обнаружении ShieldBreak. Это уязвимость нулевого дня (zero-day), для которой на данный момент не существует программного исправления. Брешь не позволяет взломать компьютер удаленно, однако дает злоумышленнику, уже имеющему доступ к системе, возможность повысить свои привилегии до максимального уровня — «system».

Чтобы доказать реальность угрозы, Nightmare Eclipse опубликовал Proof-of-Concept (PoC) код, позволяющий эксплуатировать баг в Windows 11 25H2 и Windows Server 2025.

Эксперты по безопасности Уилл Дорманн и Кевин Бомонт протестировали код и подтвердили его работоспособность при условии, что Defender включен. «Это дает привилегии SYSTEM из любой учетной записи пользователя. Я проверил, это работает на последней версии Windows 11», — отметил Бомонт.

Появление ShieldBreak последовало за раскрытием в июне другой ошибки повышения привилегий — Rogue Planet, также связанной с Windows Defender. Спустя неделю Microsoft выпустила соответствующий патч, однако теперь Nightmare Eclipse утверждает, что фактически обошел это исправление с помощью другого метода.

Остается открытым вопрос о том, предпримет ли Microsoft ответные меры против исследователя, который также обнаружил еще одну уязвимость нулевого дня под названием BlueHammer. В мае компания завуалированно пригрозила юридическими последствиями любому, кто передаст PoC-код неисправленных уязвимостей в руки злоумышленников без попытки скоординировать действия с вендором.

После негативной реакции сообщества кибербезопасности Microsoft смягчила позицию. «Мы не намерены предпринимать действия против лиц, проводящих или публикующих результаты своих исследований. Однако когда человек нарушает закон и занимается вредоносной деятельностью, наносящей реальный ущерб нашим клиентам, мы будем взаимодействовать с правоохранительными органами», — написала компания в соцсети X.

В ответ на раскрытие ShieldBreak Microsoft сообщила изданию PCMag, что ей известно о проблеме и она изучает достоверность данных утверждений. В компании подчеркнули приверженность обновлению продуктов и поддержали стандарт скоординированного раскрытия уязвимостей, который гарантирует их устранение до того, как информация станет публичной.

По всей видимости, Nightmare Eclipse ранее работал в Microsoft, выявляя программные ошибки. Однако теперь «охотник за багами» намеренно избегает координации с компанией, ссылаясь на плохое обращение в прошлом.

В прошлом месяце исследователь опубликовал в соцсетях эксцентричный пост: «Учитывая последние события с Microsoft, я много думал о том, чтобы попробовать фентанил. Знаю, многие из вас скажут, что это безумно глупо, но выслушайте меня: если я действительно умру, Microsoft превратит меня в робота».