Auf den Punkt: Ein oeffentlicher Proof-of-Concept namens ShieldBreak umgeht offenbar den Microsoft-Patch fuer CVE-2026-50656 und ermoeglicht Angreifern mit Erstzugriff volle Systemrechte, weshalb CISOs trotz eingespielter Patches zusaetzliche Haertungsmassnahmen wie Application-Allowlisting einplanen sollten.
Wenige Wochen nach dem Patch fuer eine kritische Luecke in Microsoft Defender hat ein Sicherheitsforscher einen Proof-of-Concept namens ShieldBreak veroeffentlicht, der die Korrektur offenbar umgeht und Angreifern mit vorhandenem Systemzugriff volle Admin-Rechte verschafft. Fuer CISOs bedeutet das, dass bereits als geschlossen gemeldete Systeme weiterhin verwundbar sein koennen.
Der unter dem Namen Nightmare Eclipse auftretende Forscher, der bereits laengere Zeit im Konflikt mit Microsoft Security steht, hat in einer Serie oeffentlicher Beitraege einen Proof-of-Concept mit dem Namen ShieldBreak beschrieben. Der PoC umgeht demnach den Patch, den Microsoft fuer die kritische Schwachstelle CVE-2026-50656 in Microsoft Defender ausgeliefert hat. Wie bei der urspruenglichen Luecke muss ein Angreifer zunaechst irgendeine Form von Systemzugriff erlangen, typischerweise per Phishing. Ist dieser Zugriff vorhanden, ermoeglicht ShieldBreak laut Beschreibung den Sprung zu vollen System- beziehungsweise Root-Rechten. Weder Microsoft noch Nightmare Eclipse haben zum Zeitpunkt der Veroeffentlichung weitere Details bestaetigt.
Justin Greis, CEO der Beratungsfirma Acceligence, weist auf ein grundsaetzliches Problem hin: ShieldBreak stellt die Wirksamkeit der von Microsoft bereits ausgelieferten Behebung infrage. CISOs, die den Patch fuer CVE-2026-50656 bereits eingespielt haben, koennten sich faelschlich geschuetzt fuehlen, waehrend die zugrunde liegende Exposition durch den Patch-Bypass bestehen bleibt. Greis betont, dass Organisationen vorsichtig sein sollten, dasselbe Sicherheitsprodukt sowohl als Kontrolle als auch als einzige Nachweisquelle fuer deren Wirksamkeit zu nutzen — die Frage fuer CISOs sei nicht mehr nur „Haben wir den Patch ausgerollt?“, sondern „Haben wir die Exposition tatsaechlich beseitigt?“.
Flavio Villanustre, CISO der LexisNexis Risk Solutions Group, verweist auf den Zeitpunkt der Veroeffentlichung: Da Microsoft Sicherheitspatches ueblicherweise nur am zweiten Dienstag im Monat ausliefert, koennte die Schwachstelle noch rund vier Wochen offen bleiben, sofern Microsoft sie nicht als besonders schwerwiegend einstuft und ausserplanmaessig reagiert – was er als unwahrscheinlich einschaetzt.
Brian Levine, Executive Director von FormerGov, warnt vor dem Schadenspotenzial: Der Exploit missbraucht Defender selbst, also das mit den hoechsten Rechten laufende Sicherheitswerkzeug, und macht aus einem gewoehnlichen Konto mit niedrigen Rechten ein System mit voller Kontrolle. Ein Angriff, der innerhalb der eigenen Antivirensoftware ablaeuft, bleibt unauffaellig, gilt als vertrauenswuerdig und kann genutzt werden, um genau jenes Werkzeug zu blenden oder zu deaktivieren, auf das Verteidiger zur Erkennung von Eindringlingen setzen. Levine bezeichnet ShieldBreak als nahezu idealen zweiten Angriffsschritt fuer Ransomware-Gruppen und manuell agierende Angreifer. Er raet CISOs, nicht auf einen Microsoft-Fix zu warten, sondern sofort auf Defense-in-Depth zu setzen: Application-Allowlisting wie WDAC oder AppLocker im Enforced-Modus gilt als staerkste verfuegbare Haertungsmassnahme und kann die Payload auch dann stoppen, wenn der eigentliche Bypass erfolgreich ist.
Quelle: www.csoonline.com · Erschienen 12. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.