Nightmare Eclipse colpisce ancora: ShieldBreak sfrutta Microsoft Defender per ottenere privilegi SYSTEM su Windows completamente aggiornato

Il martedì delle patch di agosto 2026 si è chiuso con una coda velenosa. Poche ore dopo la pubblicazione degli aggiornamenti di sicurezza Microsoft, l'ormai famosissimo ricercatore che si firma Nightmare Eclipse/Chaotic Eclipse - ha rilasciato pubblicamente un exploit zero-day per Windows battezzato ShieldBreak. La promessa è quella che ogni amministratore di sistema teme di leggere: un utente locale qualsiasi ottiene una shell con privilegi NT AUTHORITY\SYSTEM. Nessuna patch disponibile al momento della pubblicazione.

Cosa fa ShieldBreak, e perché passa proprio da Defender

C'è dell'ironia nel fatto che il bersaglio dell'exploit sia proprio Microsoft Defender. Non un componente di terze parti, non un driver esotico: il motore antimalware integrato in Windows, quello che dovrebbe proteggere la macchina, diventa il complice involontario dell'attacco. ShieldBreak abusa della catena di scansione che Defender applica ai file gestiti tramite Cloud Filter API (cfapi), l'interfaccia che Windows usa per i file sincronizzati dal cloud e materializzati su richiesta.

La meccanica descritta nelle analisi pubblicate è raffinata, quasi "da manuale". L'attaccante crea una directory temporanea e la registra come provider di sincronizzazione cloud, poi vi piazza un file segnaposto - un file EICAR, il classico campione di test antivirus - per costringere Defender a intervenire. A quel punto controlla il percorso di scansione dirigendolo verso System32 e, sfruttando la manipolazione dei log CLFS insieme a collegamenti simbolici dell'object manager, fa sì che il motore blocchi un file di sistema legittimo, mentre "sotto" viene sostituito una DLL malevola. L'esecuzione finale arriva tramite un'attività pianificata.

Kevin Beaumont, che ha pubblicato query di rilevamento per Microsoft Defender for Endpoint, ha sintetizzato così la differenza rispetto all'exploit precedente: «RoguePlanet era una vulnerabilità di race condition sul filesystem che usava dischi virtuali e manipolazione di file tramite le API native NT per ingannare il processo di quarantena e fargli sovrascrivere file di sistema... ShieldBreak usa invece un hook di callback in user mode per modificare il contenuto dei file durante una scansione di cloud hydration di Defender tramite cfapi».

» Leggi anche: [Upd: patch disponibile] RoguePlanet: nuova vulnerabilità zero-day in Microsoft Defender concede privilegi SYSTEM su Windows 11

C'è però un dettaglio operativo che non guasta: perché ShieldBreak funzioni, Defender deve essere attivo. Lo ha confermato Will Dormann, principal vulnerability analyst di Tharros.

Sui sistemi che usano una soluzione antimalware alternativa con Defender disattivato, la superficie d'attacco descritta semplicemente non esiste. Il che non è un buon motivo per spegnere Defender su un parco macchine sprovvisto di alternative - sarebbe come scambiare un rischio ipotetico con uno certo, tanto per stare più tranquilli sulla carta.

Il nodo RoguePlanet: patch aggirata o falla diversa?

Nightmare Eclipse presenta ShieldBreak come un bypass completo della correzione rilasciata da Microsoft per RoguePlanet (CVE-2026-50656): «Microsoft non ha corretto adeguatamente la vulnerabilità RoguePlanet CVE-2026-50656, questo PoC dimostra un bypass completo della patch».

Due delle analisi pubblicate seguono questa lettura. Una terza sostiene invece che l'exploit sia una vulnerabilità distinta rispetto a RoguePlanet. Le due posizioni non sono del tutto inconciliabili - i meccanismi tecnici sono chiaramente diversi, come nota Beaumont, anche se il risultato finale colpisce lo stesso perimetro - ma allo stato attuale la questione resta aperta.

Una serie che va avanti da aprile

ShieldBreak non arriva isolato. Fa parte di una sequenza di zero-day che Nightmare Eclipse pubblica da aprile 2026, con nomi in codice che ormai formano un piccolo catalogo dell'orrore:

• BlueHammer
• RedSun
• UnDefend
• GreenPlasma
• YellowKey
• MiniPlasma
• RoguePlanet
• LegacyHive

Alcune di esse sono già state corrette, mentre altre vulnerabilità della serie restano tuttora senza correzione.

Il dato che dovrebbe preoccupare: l'affidabilità dichiarata

Il proof of concept per ShieldBreak è stato validato su Windows 11 25H2, canale Canary incluso, e su Windows Server 2025. Windows 10 e le edizioni server corrispondenti non sono supportate dal PoC nella sua forma attuale, ma vengono descritte come vulnerabili comunque. Il ricercatore rivendica un tasso di successo del 100%.

Ed è probabilmente l'affermazione più significativa dell'intera vicenda. Gli exploit basati su race condition richiedono di norma tentativi ripetuti prima di andare a segno, e la loro inaffidabilità è spesso l'unica cosa che separa una vulnerabilità teorica da un'arma pratica. Un exploit di elevazione dei privilegi che funziona sempre, sulle build più recenti di Windows, contro il motore di protezione predefinito, cambia il calcolo del rischio per qualunque organizzazione che affidi a Defender la difesa degli endpoint.

Nessuna patch, e un conflitto che continua

Alla data di pubblicazione non esiste una correzione ufficiale. Interpellata, Microsoft ha dichiarato: «Microsoft è a conoscenza della vulnerabilità segnalata e sta valutando attivamente la fondatezza e la portata di queste affermazioni. Microsoft si impegna a indagare sui problemi di sicurezza e ad aggiornare i prodotti interessati per proteggere i clienti il prima possibile», aggiungendo di sostenere la divulgazione coordinata delle vulnerabilità.

Quel riferimento alla divulgazione coordinata non è casuale. Il rilascio di ShieldBreak si inserisce in uno scontro aperto tra Microsoft e il ricercatore Nightmare Eclipse/Chaotic Eclipse sulle pratiche di gestione delle segnalazioni e sul programma di bug bounty. L'azienda ha risposto minacciando azioni legali contro chi si rende responsabile di «attività malevole che causano danni reali» ai clienti - una formulazione che diversi esperti di sicurezza hanno letto come un avvertimento indirizzato direttamente a Nightmare Eclipse/Chaotic Eclipse. Nel frattempo GitHub e GitLab hanno sospeso gli account del ricercatore, che ha spostato le pubblicazioni su host alternativi come Gitea per mantenerle accessibili.

Non risultano al momento sfruttamenti in circolazione. Le indicazioni pratiche per chi gestisce flotte Windows restano quelle di sempre, applicate però con più urgenza del solito: seguire gli avvisi Microsoft, distribuire la correzione appena disponibile e implementare intanto le regole di rilevamento già pubblicate. Disattivare Defender, ripetiamolo, non è una mitigazione - è una resa.

Fonti: theregister.com, cybernews.com, cybersecuritynews.com