SecBoard
Zurück zur Übersicht
Hoch63 / 100Konfidenz: Mittel
In CISA KEVCVSS7.8EPSS11 %Ohne Zutun des Nutzers

Organisationen sollten aufmerksam bleiben und verfügbare Updates von Microsoft zeitnah einspielen, sobald diese veröffentlicht werden.

▸Herleitung der Bewertung(5)

Wie der Wert zustande kommt

  • Im CISA-KEV-Katalog: CVE-2026-68820+25
  • Hoechster CVSS-Basiswert 7.8+14
  • Wird laut Meldung tatsaechlich ausgenutzt: actively exploited+12
  • Hinweis auf verfuegbaren Angriffscode: poc, proof-of-concept+10
  • EPSS 11.2 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+2

Woraus sich die Konfidenz ergibt

  • Zwei unabhaengige Herausgeber berichten den Sachverhalt
  • Strukturierte CVE-Daten aus der NVD vorhanden

Die Konfidenz misst die Belegqualität, nicht die Schwere.

Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik

ShieldBreak Zero-Day PoC Claims Microsoft Defender Patch Bypass With SYSTEM Access

The Hacker News·
Originalartikel lesen bei The Hacker News

Ein Sicherheitsforscher namens Chaotic Eclipse hat einen () für eine neue Microsoft Zero-Day-Schwachstelle namens ShieldBreak veröffentlicht. Diese betrifft Microsoft Defender für Windows und ermöglicht einen Patch-Bypass für die bereits bekannte Schwachstelle RoguePlanet (CVE-2026-50656). Nutzer sollten aufmerksam bleiben und verfügbare Updates zeitnah einspielen, um sich vor potenziellen Angriffen zu schützen.

SecBoard-Einordnung

Diese Schwachstelle ermöglicht es Angreifern, einen Patch für eine bekannte Schwachstelle zu umgehen und potenziell SYSTEM-Zugriff auf betroffene Systeme zu erlangen. Dies stellt ein erhebliches Risiko für die Integrität und Vertraulichkeit von Daten dar.

Realistisch schlimmster Fall: Angreifer könnten SYSTEM-Zugriff auf Windows-Systeme erlangen, auf denen Microsoft Defender läuft, und somit weitreichende Kontrolle über das System übernehmen, was zu Datenkompromittierung oder Systemausfällen führen kann.

Empfehlung: Organisationen sollten aufmerksam bleiben und verfügbare Updates von Microsoft zeitnah einspielen, sobald diese veröffentlicht werden. Bis dahin sollten zusätzliche Schutzmaßnahmen und Überwachungen für Endpunkte verstärkt werden.

Im erfassten Bestand

  • ▸CVE-2026-68820 kommt damit in 8 erfassten Meldungen der letzten 90 Tage vor.
  • ▸CVE-2026-68820 stand zum Zeitpunkt dieser Meldung seit 1 Tagen im KEV-Katalog der CISA.

Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.

Key Facts

 

CVE-2026-68820CISA KEV
CVSS
7.0 · HIGH
EPSS
8.6%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
hoch
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
im KEV seit
2026-08-11
Patch
unbekannt
Zuweisende CNA
secure@microsoft.com
CVE-2026-50656
CVSS
7.8 · HIGH
EPSS
11.2%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
secure@microsoft.com
CVE-2026-69414
CVSS
7.8 · HIGH
EPSS
1.4%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
secure@microsoft.com
CVE-2026-62832
CVSS
7.8 · HIGH
EPSS
0.4%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Vertraulichkeit, Integrität, Verfügbarkeit
Patch
unbekannt
Zuweisende CNA
secure@microsoft.com
CVE-2026-72971
CVSS
5.5 · MEDIUM
EPSS
0.4%
Über das Netz
nein
Anmeldung nötig
ja
Nutzerinteraktion nötig
nein
Angriffskomplexität
niedrig
Beeinträchtigt
Integrität
Patch
unbekannt
Zuweisende CNA
secure@microsoft.com

Betroffen

Alle Nutzer von Microsoft Defender für Windows sind betroffen.

Hersteller

Microsoft

Produkte

Windows Ancillary Function Driver for WinSockMalware Protection EngineWindows 10 1607Windows 10 1809Windows 10 21H2Windows 10 22H2Windows 11 23H2Windows 11 24H2Windows 11 25H2Windows 11 26H1Windows Server 2012Windows Server 2016+3 weitere
▸ CPE-Rohbezeichner anzeigen (31)
  • cpe:2.3:a:microsoft:malware_protection_engine:-:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_10_1607:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_10_1607:*:*:*:*:*:*:x86:*
  • cpe:2.3:o:microsoft:windows_10_1809:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_10_1809:*:*:*:*:*:*:x86:*
  • cpe:2.3:o:microsoft:windows_10_21h2:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_10_21h2:*:*:*:*:*:*:arm64:*
  • cpe:2.3:o:microsoft:windows_10_21h2:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_10_21h2:*:*:*:*:*:*:x86:*
  • cpe:2.3:o:microsoft:windows_10_22h2:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_10_22h2:*:*:*:*:*:*:arm64:*
  • cpe:2.3:o:microsoft:windows_10_22h2:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_10_22h2:*:*:*:*:*:*:x86:*
  • cpe:2.3:o:microsoft:windows_11_23h2:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_11_23h2:*:*:*:*:*:*:arm64:*
  • cpe:2.3:o:microsoft:windows_11_23h2:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_11_24h2:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_11_24h2:*:*:*:*:*:*:arm64:*
  • cpe:2.3:o:microsoft:windows_11_24h2:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_11_25h2:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_11_25h2:*:*:*:*:*:*:arm64:*
  • cpe:2.3:o:microsoft:windows_11_25h2:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_11_26h1:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_11_26h1:*:*:*:*:*:*:arm64:*
  • cpe:2.3:o:microsoft:windows_11_26h1:*:*:*:*:*:*:x64:*
  • cpe:2.3:o:microsoft:windows_server_2012:-:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2012:r2:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2016:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2019:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2022:*:*:*:*:*:*:*:*
  • cpe:2.3:o:microsoft:windows_server_2025:*:*:*:*:*:*:*:*

Prüfen

3
  • ▸Überprüfen Sie, ob alle Microsoft Defender-Instanzen auf dem neuesten Stand sind und automatische Updates aktiviert sind.
  • ▸Stellen Sie sicher, dass Endpunkt-Erkennung und -Reaktion (EDR) Lösungen aktiv sind und Warnungen bezüglich ungewöhnlicher Aktivitäten im Zusammenhang mit Microsoft Defender oder SYSTEM-Prozessen generieren.
▸ 1 weitere
  • ▸Führen Sie regelmäßige Audits der Systemberechtigungen durch, um sicherzustellen, dass keine unnötigen SYSTEM-Zugriffe bestehen, die über die Standardkonfiguration hinausgehen.

Offene Punkte

3
▸ anzeigen
  • ▸Es ist nicht spezifiziert, welche spezifischen Versionen von Microsoft Defender betroffen sind, außer 'für Windows'.
  • ▸Der genaue Angriffsvektor oder die Methode, wie der PoC SYSTEM-Zugriff erlangt, ist im Artikel nicht detailliert beschrieben.
  • ▸Es ist nicht spezifiziert, ob es bereits aktive Ausnutzungen dieser Zero-Day-Schwachstelle gibt.

Red-Team-Relevanz

Was heißt das für dein nächstes Assessment?

▸ Einordnung anzeigen
  • Initial Access möglich?Unklar
  • Privilege Escalation relevant?Ja
  • Exploit öffentlich verfügbar?Ja
  • Detection / Logging prüfbar?Ja
  • Für Purple-Team-Szenario geeignet?Ja

Kundenfragen

  • Haben wir Windows extern erreichbar?
  • Können wir Execution detektieren?

MITRE ATT&CK(3)

Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.

T1068Exploitation for Privilege Escalationzugeordnet

„ermöglicht einen Patch-Bypass ... potenziell SYSTEM-Zugriff“

T1562.001Impair Defenses: Impair Defenses: Disable or Modify System Firewallzugeordnet

„Patch-Bypass für die bereits bekannte Schwachstelle RoguePlanet (CVE-2026-50656)“

T1053.005Scheduled Task/Job: Scheduled Taskabgeleitet

Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.

Kill-Chain-Phasen

Wie weit im Ablauf die belegten Techniken liegen — je Technik die früheste Phase.

Auskundschaften

0

›

Bewaffnung

0

›

Zustellung

0

›

Ausnutzung

1

›

Einnistung

0

›

Fernsteuerung

0

›

Zielhandlung

0

Verlauf der Belege

Wann welche Quelle den Vorgang zuerst berichtet hat — nicht der Ablauf des Angriffs selbst.

  1. The Hacker NewsKontext
    ShieldBreak Zero-Day PoC Claims Microsoft Defender Patch Bypass With SYSTEM Access
  2. BleepingComputerKontext
    New Microsoft Defender 'ShieldBreak' zero-day grants SYSTEM privileges

Quellen & Belege· 2 unterschiedliche Quellen

BleepingComputerKontextPUBLICZuverlässigkeit C

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

The Hacker NewsKontextPUBLICZuverlässigkeit Cdiese Meldung

Redaktionelle Berichterstattung, meist Zweitverwertung einer Primaerquelle.

  • Ausschliesslich redaktionelle Berichterstattung, keine Primaer- oder Technikquelle im Bestand.
  • Unabhaengigkeit meint den Herausgeber. Zwei Haeuser, die dieselbe Herstellermeldung nacherzaehlen, gelten hier weiter als zwei Belege.

Verknüpfte Intelligence

Dieselben Entitäten an anderer Stelle auf SecBoard.

ATT&CK-Heatmap

ATT&CK-Heatmap
Vollständigen Artikel lesen bei The Hacker News