Microsoft Defender virou escada SYSTEM: ShieldBreak quebra Windows

A Microsoft fechou o Patch Tuesday de agosto e ganhou um problema novo no mesmo dia. Horas depois das atualizações, o pesquisador Nightmare Eclipse publicou o ShieldBreak. É uma prova de conceito que devolve privilégios SYSTEM a qualquer conta local do Windows. Segundo o próprio autor, o código foi testado em Windows 11 25H2 e no Server 2025. Portanto, quem trata o Defender como camada principal de proteção precisa olhar para isso hoje.

Microsoft já tinha fechado essa porta em julho e ela abriu de novo

A história começa em junho, quando o mesmo pesquisador divulgou o RoguePlanet. A falha recebeu o identificador CVE 2026 50656, com nota 7.8 no CVSS, e foi descrita como uma condição de corrida no motor de proteção contra malware, o mpengine.dll. Depois de quase um mês de exposição pública, a Microsoft liberou o motor na versão 1.1.26060.3008 como correção. Agora, o ShieldBreak reabre o mesmo buraco por outro caminho. Ou seja, a atualização de julho tratou a superfície e deixou a condição de corrida viva. Inclusive, o readme do projeto afirma que a correção falhou por completo.

Abre a brecha durante a hidratação de arquivos na nuvem

O núcleo do problema mora no motor de varredura. Ali existe um intervalo entre validar um objeto de arquivo e usar esse mesmo objeto. Assim, quem vence essa janela consegue apontar a varredura para conteúdo controlado pelo atacante.

Kevin Beaumont explicou a diferença entre os dois exploits. No RoguePlanet, discos virtuais e manipulação nativa de arquivos enganavam o processo de quarentena. Já o ShieldBreak usa um gancho de callback em modo usuário para trocar o conteúdo do arquivo durante uma varredura de hidratação na nuvem, pela Cloud Filter API.

Will Dormann, analista principal de vulnerabilidades da Tharros, validou o comportamento. Além disso, ele reforçou um detalhe importante. O Defender precisa estar ativo para que a escalada aconteça. Portanto, a própria camada de proteção entrega o privilégio.

Sem patch oficial: o que checar no seu ambiente ainda hoje

Até o fechamento deste texto, o ShieldBreak segue sem correção oficial. Enquanto isso, algumas medidas reduzem o risco no parque de máquinas.

• Levante a versão do motor de proteção em todas as máquinas, porque versões anteriores à 1.1.26060.3008 ainda respondem ao RoguePlanet original.
• Mantenha a proteção contra adulteração ligada, pois ela dificulta o desligamento do Defender a partir de uma conta local.
• Aplique as consultas de detecção publicadas por Beaumont para o Defender for Endpoint. Dessa forma, o time de resposta enxerga tentativas de escalada.
• Revise contas locais e sessões interativas em servidores, já que o ataque parte de um usuário comum.
• Priorize estações com sincronização de arquivos na nuvem, uma vez que a API envolvida vive nesse fluxo.
• Acompanhe os avisos do MSRC, porque a versão corrigida do motor deve sair por ali.

Microsoft e Nightmare Eclipse: a briga que colocou o exploit no GitHub

Essa publicação faz parte de um conflito aberto sobre divulgação e recompensas. Desde abril, o pesquisador soltou uma série de exploits sem aviso prévio, entre eles LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma e UnDefend. Em resposta, o MSRC criticou a divulgação sem coordenação e citou medidas judiciais contra agentes maliciosos. A comunidade leu aquilo como ameaça direta ao pesquisador. Depois, a empresa suavizou o tom e afirmou que não pretende agir contra quem publica pesquisa de segurança. Ainda assim, o efeito prático continua o mesmo para quem administra Windows: código público na rua e correção ausente.

Microsoft à parte, o ShieldBreak é uma aula sobre condição de corrida

Para quem escreve código, o caso vale mais do que a manchete. No fundo, o exploit explora um padrão antigo, conhecido como TOCTOU. O programa valida um recurso em um momento e usa esse recurso em outro. Entre os dois instantes, alguém troca o conteúdo.

Por isso, validação e uso precisam acontecer sobre o mesmo identificador estável. Handles abertos, verificação de identidade do arquivo e operações atômicas resolvem boa parte do problema. Além disso, vale desconfiar de qualquer caminho que dependa de sincronização externa. Serviços que rodam como SYSTEM merecem cuidado redobrado, principalmente quando leem arquivos gravados por usuários comuns.

Enquanto a Microsoft prepara o próximo pacote, o Defender segue como parte da superfície de ataque.

Acompanhe nosso perfil no Instagram!