Через кілька днів після випуску Microsoft виправлення для вразливості підвищення привілеїв CVE-2026-69414 (ShieldBreak) у Microsoft Malware Protection Engine на GitHub з’явився публічний репозиторій ShieldCrash, автор якого заявляє про обхід випущеного патча. Згідно з офіційним бюлетенем Microsoft, вразливість публічно розкрита, але активна експлуатація не зафіксована, при цьому вендор оцінює експлуатацію як «більш імовірну». Ситуація стосується всіх систем з активним Microsoft Defender і потребує уваги адміністраторів корпоративних середовищ.
Що підтверджено: CVE-2026-69414 і ShieldBreak
Microsoft підтверджує наявність вразливості підвищення привілеїв у Microsoft Malware Protection Engine — компоненті, який використовується Microsoft Defender. Вразливість отримала публічну назву ShieldBreak. Метадані бюлетеня безпеки фіксують такий статус:
- Публічне розкриття: так
- Експлуатація в дикій природі: ні
- Оцінка експлуатованості: «Exploitation More Likely» для актуальних версій ПЗ
Важливо підкреслити: Microsoft не підтверджує факт активної експлуатації. Запис у NVD зареєстровано, однак у наданих даних офіційна оцінка CVSS від вендора відсутня. Значення 7.8, яке фігурує в деяких публікаціях, не підтверджене первинним джерелом і не може розглядатися як встановлений факт.
ShieldCrash: заявлений обхід патча
Репозиторій ShieldCrash, опублікований на GitHub під акаунтом MSNightmare (коміти від 7 і 8 вересня 2026 року), містить код, який, за заявою автора, демонструє довільне читання файлів з привілеями SYSTEM на актуальних версіях Windows. Автор стверджує, що Microsoft усунула кілька шляхів повторної експлуатації ShieldBreak, але «пропустила ділянку», де проблема відтворюється за певних умов.
Тут необхідно чітко розмежувати підтверджені факти та заяви дослідника:
- Підтверджено: публічний репозиторій з кодом існує, коміти датовані початком вересня 2026 року
- Заявлено автором, не підтверджено незалежно: працездатність обходу патча, читання файлів з привілеями SYSTEM, охоплення всіх підтримуваних версій Windows
- Не встановлено: ShieldCrash не має окремого ідентифікатора CVE в наданих даних і має розглядатися як заявлений обхід патча для CVE-2026-69414, а не як самостійна вразливість
Зв’язок між акаунтом MSNightmare на GitHub і псевдонімом «Chaotic Eclipse», який згадується в низці публікацій, також не підтверджений незалежними джерелами.
Розбіжність між статусом вендора та публічним PoC
Ситуація містить суттєву розбіжність: Microsoft фіксує статус «Exploited: No», тоді як публічний репозиторій заявляє про робочий шлях експлуатації після встановлення патча. Ці твердження стосуються різних умов — вендор оцінює активну експлуатацію в дикій природі, а дослідник демонструє лабораторний обхід. Наявність публічного PoC за відсутності підтвердженої експлуатації означає статус poc_available, а не активну атаку. Втім, позначка «Exploitation More Likely» від Microsoft вказує на підвищений ризик переходу від PoC до реальних атак.
Межі вразливості та патч
За даними з новинних публікацій (не підтвердженими безпосередньо в бюлетені Microsoft у наданих матеріалах), виправлення випущене у версії Microsoft Malware Protection Engine 1.1.26080.3. Повідомляється, що оновлення не вимагає дій з боку користувача — рушій оновлюється автоматично. Системи з вимкненим Microsoft Defender, за тими ж даними, не є вразливими. Ці деталі слід сприймати із застереженням: їх отримано з вторинного джерела, а не з первинного бюлетеня вендора.
Ми вже писали про вразливість ShieldBreak у контексті Patch Tuesday серпня 2026 року, а також розглядали серію PoC, що зачіпають продукти кількох вендорів захисного ПЗ, включно з Microsoft Defender.
Рекомендації
- Перевірте версію Microsoft Malware Protection Engine на кінцевих точках. Якщо автоматичне оновлення рушія вимкнене (нестандартна конфігурація), переконайтеся, що версія не нижча за 1.1.26080.3
- Не вимикайте автоматичне оновлення визначень і рушія Microsoft Defender. Microsoft прямо рекомендує зберігати автоматичне оновлення для своєчасного реагування на нові загрози
- Відстежуйте оновлення бюлетеня CVE-2026-69414 — у разі підтвердження обходу патча Microsoft може випустити додаткове виправлення
- Не панікуйте: активна експлуатація не підтверджена, а заявлений обхід потребує незалежної валідації. Однак наявність публічного PoC підвищує пріоритет моніторингу
Поточна ситуація з ShieldCrash — це заява дослідника про неповноту патча, а не підтверджена атака. Ключова дія для адміністраторів — переконатися, що автоматичне оновлення Microsoft Malware Protection Engine активне, і стежити за оновленнями бюлетеня CVE-2026-69414, де Microsoft може скоригувати статус вразливості або випустити додаткове виправлення у відповідь на публікацію PoC.
