У Windows виявили zero-day ShieldBreak без патча

Нова вразливість у Windows Defender може дати системний доступ у Windows 10, 11 і Server 2025. Microsoft ще не випустила виправлення.

Дослідник безпеки оприлюднив деталі нової zero-day-вразливості в актуальних версіях Windows, яка може дати зловмисникам системний доступ до пристрою та даних користувача. Публікація з’явилася через кілька тижнів після того, як Microsoft погрожувала юридичними кроками через розкриття раніше невідомих вад у ПЗ. Йдеться про вразливість ShieldBreak. Її автор — дослідник безпеки Nightmare Eclipse, який останніми місяцями вже публікував інформацію про кілька проблем у продуктах Microsoft, зокрема у Windows.

ShieldBreak використовує недолік у Windows Defender

За словами Nightmare Eclipse, ShieldBreak використовує недолік у Windows Defender — вбудованому в Windows антивірусі та захисному механізмі. Якщо атака спрацьовує, зловмисник може підвищити свої права з рівня звичайного користувача до повного доступу до пристрою та його даних.

Дослідник оприлюднив proof-of-concept exploit у вигляді застосунку для Windows. Щоб скористатися ним, користувач має самостійно запустити цей застосунок.

Nightmare Eclipse заявив, що вразливість працює у Windows 10, Windows 11, зокрема в останній версії 25H2, а також у Windows Server 2025.

Вразливість підтвердили, але для атаки потрібен Defender

Дослідник безпеки Will Dormann підтвердив, що вразливість справді працює. Він також зазначив, що для експлуатації ShieldBreak має бути увімкнений Windows Defender.

Це важлива деталь: йдеться не про суто теоретичну помилку, а про конкретний сценарій, у якому захисний компонент Windows стає частиною атаки. Як повідомляють Новини IT-PUB, саме тому новину віднесли до zero-day — Microsoft не встигла випустити виправлення до публічного розкриття інформації.

Новий експлойт обходить патч для RoguePlanet

ShieldBreak базується на попередньому експлойті Nightmare Eclipse під назвою RoguePlanet. Microsoft уже випускала патч для RoguePlanet, але дослідник натякнув, що цього виправлення виявилося недостатньо.

За його словами, новий експлойт демонструє повний обхід попереднього патча. Це означає, що навіть після усунення старої проблеми захист не став остаточним, а користувачі й системні адміністратори отримали новий привід уважно стежити за оновленнями безпеки.

Microsoft поки не випустила патч для ShieldBreak. Представник компанії не одразу прокоментував ситуацію на запит TechCrunch.

Суперечка між Nightmare Eclipse і Microsoft загострюється

Публікація ShieldBreak стала черговим епізодом у тривалому протистоянні між Nightmare Eclipse і Microsoft щодо того, як компанія обробляє повідомлення про вразливості.

У серії дописів у блозі дослідник стверджував, що Microsoft поводилася з ним некоректно й не обробляла його звіти належним чином. Із цього він робив висновок, що в нього не залишалося іншого вибору, окрім як публічно розкривати вразливості в інтернеті.

Раніше Nightmare Eclipse уже публікував кілька інших помилок у Windows, які згодом використовувалися в реальних атаках проти організацій. Саме цей контекст робить нову публікацію особливо чутливою: з одного боку, вона привертає увагу до проблеми безпеки, з іншого — підвищує ризик того, що інформацією скористаються не лише захисники, а й нападники.

Чому ShieldBreak важливий для користувачів і компаній

ShieldBreak зачіпає не лише окремих користувачів, а й компанії та організації, де Windows є основною робочою платформою. Якщо експлойт справді дозволяє перейти від звичайних прав до повного контролю над системою, наслідки можуть бути значно серйознішими за звичайний збій або локальну помилку.

Окрему увагу привертає й те, що вразливість стосується Windows Defender — компонента, на який багато користувачів покладаються як на базовий рівень захисту. У такій ситуації проблема стає не лише технічною, а й питанням довіри: від вбудованого захисту очікують, що він не створюватиме додаткових ризиків.

Новина з’явилася наступного дня після регулярного щомісячного набору патчів Microsoft, відомого як Patch Tuesday. Це вже другий місяць поспіль, коли кількість виправлень сягає приблизно 500 вразливостей — на тлі того, що компанія дедалі активніше використовує ШІ для пошуку та відсіву проблем безпеки.