Novo zero-day ShieldBreak volta a furar o Microsoft Defender

O Microsoft Defender voltou a ser furado com estilo próprio: nome dramático, prova de conceito pública e direito a guerra aberta nas redes sociais. Chama-se ShieldBreak, é um novo zero-day e permite escalar privilégios até SYSTEM em Windows 10, Windows 11 e Windows Server totalmente actualizados, incluindo a edição 25H2 e o Windows Server 2025.

O exploit foi divulgado pelo investigador conhecido como Nightmare Eclipse, que acusa a Microsoft de ter corrigido de forma incompleta a vulnerabilidade RoguePlanet, catalogada como CVE-2026-50656. A ShieldBreak é apresentada como bypass directo a esse patch, com uma taxa de sucesso de 100% nas versões testadas. A condição essencial é simples e preocupante: o Microsoft Defender tem de estar activo. Ou seja, basta um Windows “normal” em ambiente doméstico ou empresarial.

Ao contrário de RoguePlanet, que explorava uma condição de corrida no sistema de ficheiros usando discos virtuais e chamadas nativas do NT para forçar o processo de quarentena a sobrescrever ficheiros de sistema, ShieldBreak mexe mais fundo na lógica do próprio Defender. Nas palavras do especialista Kevin Beaumont, usa um user-mode callback hook para alterar conteúdos de ficheiros durante uma análise de cloud-hydration via cfapi (Cloud Filter API). O resultado é o mesmo, o caminho é outro: o antivírus integrado passa a ser veículo de escalada de privilégios.

Will Dormann, analista principal de vulnerabilidades na Tharros, já confirmou que a prova de conceito funciona. Isto não é um teórico “em condições muito especiais”. É executável, reproduzível e testado em sistemas reais. Para administradores em Portugal que se habituaram a confiar no Defender como solução “suficiente” para o parque de PCs, este cenário soma-se à lista de golpes recentes em ferramentas de segurança, ao nível do que vimos com a falha no Zoom que permitia controlo remoto via partilha de ecrã.

ShieldBreak não aparece do nada. É mais um capítulo numa série de explorações com nomes de filme B, todas assinadas por Nightmare Eclipse: LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma e UnDefend. Muitas apontam ao Defender, BitLocker e componentes nucleares do Windows. A Microsoft corrigiu RoguePlanet em julho e YellowKey, GreenPlasma e MiniPlasma no Patch Tuesday de junho. As restantes continuam à espera de patch oficial, enquanto o investigador vai libertando código que qualquer actor com um mínimo de competência consegue adaptar.

Em vez de encarar isto como um sinal de que o modelo de bug bounty e divulgação responsável precisa de ajuste sério, a Microsoft reagiu com avisos de possíveis acções legais contra quem cause “dano real” aos clientes. Na prática, leu-se como ameaça directa a Nightmare Eclipse. Para quem gere infraestruturas em empresas portuguesas, o sinal é outro: não há margem para depender unicamente do stack nativo da Microsoft, nem para assumir que um patch de julho fecha de vez uma família de falhas. Defesa em profundidade, monitorização séria de endpoints e planos de resposta a incidentes deixaram de ser luxo, são o mínimo para sobreviver num Windows que continua a ser campo de testes em produção.

Fonte: BleepingComputer