Microsoft Defender ShieldCrash: новый zero-day позволяет получить права SYSTEM
Анонимный исследователь, работающий под псевдонимом Nightmare Eclipse, сообщил о новой уязвимости нулевого дня в Microsoft Defender. Эксплойт получил название ShieldCrash и был опубликован вскоре после выхода сентябрьских обновлений безопасности Microsoft 2026 года. По заявлению исследователя, проблема затрагивает полностью обновлённые Windows 10, Windows 11 и Windows Server.
Согласно опубликованным материалам, Microsoft Defender ShieldCrash zero-day exploit позволяет выполнить произвольное чтение файлов с привилегиями SYSTEM. Это означает, что злоумышленник, уже получивший действительные учётные данные или начальный доступ к системе, может обратиться к данным с максимально высоким уровнем разрешений. При этом текущая демонстрационная версия эксплойта не предоставляет возможность записывать файлы на атакованный компьютер.
ShieldCrash рассматривается как обход исправления для другой уязвимости Defender - ShieldBreak, которой присвоен идентификатор CVE-2026-69414. Ранее ShieldBreak позволяла повышать привилегии в Windows, однако сама была создана как способ обойти защитные механизмы, связанные с более ранней проблемой RoguePlanet. Microsoft закрыла RoguePlanet в июле, а ShieldBreak - в рамках сентябрьского Patch Tuesday. Тем не менее Nightmare Eclipse утверждает, что разработчики устранили лишь часть цепочки атаки.
Подробности о механизме атаки и опубликованном proof-of-concept представлены в материале о том, как Microsoft Defender уязвимость нулевого дня ShieldCrash позволяет обойти ранее внесённые исправления. Исследователь заявил, что в определённых условиях сохранился участок кода, через который можно повторно вызвать первоначальную ошибку ShieldBreak.
"Microsoft не смогла полностью исправить CVE-2026-69414. Хотя несколько способов повторного использования уязвимости были заблокированы, один из вариантов остался работоспособным", - пояснил Nightmare Eclipse. По его словам, опубликованный PoC демонстрирует чтение произвольного файла от имени SYSTEM. Исследователь также допустил, что в дальнейшем может доработать код до полноценного варианта с получением привилегий SYSTEM, однако пока опубликовал только базовую версию.
Ситуация осложняется тем, что публикация ShieldCrash стала частью затяжного конфликта между исследователем и Microsoft. Nightmare Eclipse с апреля раскрывает серию проблем, затрагивающих Microsoft Defender, BitLocker и другие компоненты Windows. В перечне уже фигурировали ShieldBreak, LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma и UnDefend.
Часть этих уязвимостей Microsoft уже устранила. В частности, официальные исправления получили ShieldBreak, RoguePlanet, YellowKey, GreenPlasma и MiniPlasma. Однако для ряда других проблем, по утверждению исследователя, публичного патча по-прежнему нет. Ранее для некоторых ошибок сообщества безопасности выпускали неофициальные исправления, но их применение требует осторожности и предварительного тестирования.
Чем опасен ShieldCrash
Получение доступа к SYSTEM не означает автоматический полный контроль над компьютером во всех сценариях, но существенно расширяет возможности атакующего. Такие права позволяют взаимодействовать с защищёнными процессами, извлекать конфигурационные данные, анализировать содержимое системных каталогов и подготавливать дальнейшее продвижение по инфраструктуре.
Особую угрозу уязвимость представляет для организаций, где первоначальный доступ часто приобретается через фишинг, утечки паролей, заражённые удалённые рабочие места или скомпрометированные VPN-учётные записи. Если злоумышленник уже вошёл в систему под действительными данными, стандартная защита от эксплойтов Microsoft Defender может оказаться недостаточной против новой цепочки обхода.
До выпуска официального исправления администраторам рекомендуется усилить контроль привилегий, ограничить локальные права пользователей, проверить журналы Defender и Windows, а также отслеживать подозрительные обращения к системным файлам. Дополнительное значение имеют многофакторная аутентификация, сегментация сети и запрет ненужного удалённого доступа.
Организациям, которые не располагают собственной командой реагирования, могут потребоваться услуги кибербезопасности для защиты Microsoft Defender. Специалисты помогут проверить конфигурацию защитных политик, выявить признаки эксплуатации, настроить централизованный мониторинг и подготовить временные компенсирующие меры до выхода официального патча.
Важно учитывать, что наличие PoC ещё не доказывает массовое использование ShieldCrash в реальных атаках. Однако публичная демонстрация значительно сокращает время, необходимое другим исследователям и злоумышленникам для создания рабочего инструмента. Поэтому компаниям не стоит ждать подтверждения атак: необходимо заранее проверить критически важные системы и подготовить план реагирования.
Microsoft пока не сообщила о выпуске отдельного обновления для ShieldCrash. Системным администраторам следует установить все доступные накопительные обновления, следить за бюллетенями безопасности и проверять информацию о патче в официальных каналах. Дополнительный разбор развития цепочки ShieldBreak и ShieldCrash опубликован в материале о новом zero-day Microsoft Defender. adverai flex and grow.
