Der Sicherheitsforscher Chaotic Eclipse hat mit ShieldCrash wieder einen neuen Proof-of-Concept-Exploit veröffentlicht, der den kürzlich von Microsoft veröffentlichten Patch für die Defender-Schwachstelle CVE-2026-69414 ShieldBreak umgeht.
Es ist wie ein Spiel bei dem der Ball hin und her geht. Kaum hat Microsoft eine von Chaotic Eclipse genannte Schwachstelle im Defender per Patch geschlossen, kontert der Sicherheitsforscher unter dem Pseudonym Chaotic Eclipse mit einem PoC – Proof-of-Concept-Exploit. Der Exploit ShieldCrash ist seine Antwort auf den letzten Microsoft-Patch zu ShieldBreak. Den hatte Microsoft zu seinem Defender Exploit RoguePlanet entwickelt. Die neue Version ShieldCrash wurde wieder auf GitHub veröffentlicht.
Das steckt hinter dem Exploit ShieldCrash
ShieldCrash ermöglicht es einem Angreifer mit lokalem Codezugriff, beliebige Dateien mit SYSTEM-Rechten zu lesen. Die höchste Berechtigungsstufe unter Windows wird damit erreicht, allerdings bietet der aktuelle PoC nur Lesezugriff, keine Schreibrechte oder vollständige Systemkontrolle. Der Forscher bezeichnet den Code als „Skeleton-PoC“ und deutet an, dass eine vollständige SYSTEM-Ausnutzung folgen könnte. Laut Chaotic Eclipse sind alle unterstützten Windows-Versionen betroffen.
Der Exploit soll auch auf Systemen funktionieren die mit dem neuesten September 2026 Patch Tuesday und der Malware Protection Engine Version 1.1.26080.3 upgedatet wurden, welche eigentlich den PoC ShieldBreak schließen sollten. Microsoft hat ShieldBreak mit der CVE-2026-69414 registriert und mit einem CVSS-Basiswert von 7.8 bewertet. Das Update wird automatisch über Defender-Signaturupdates verteilt und erfordert keine Benutzeraktion. Systeme mit deaktiviertem Defender sind nicht betroffen.
Für ShieldCrash gibt es aktuell keinen CVE-Eintrag und bislang keine offizielle Stellungnahme von Microsoft. Das Unternehmen hat den Bypass nicht bestätigt und auch keinen separaten Patch angekündigt.
Bereits veröffentlichte Schwachstellen im Umfeld von Chaotic Eclipse
- BlueHammer – Privilege Escalation in Microsoft Defender, teils bereits aktiv ausgenutzt
- RedSun – weitere Schwachstelle in Defender mit ähnlicher Zielrichtung, ebenfalls für Angriffe relevant
- UnDefend – Angriff auf Schutzmechanismen von Defender, um Erkennung zu umgehen
- YellowKey – Schwachstelle im Zusammenhang mit BitLocker, inklusive veröffentlichter Gegenmaßnahmen
- GreenPlasma / MiniPlasma – weitere lokale Angriffswege zur Rechteausweitung innerhalb von Windows-Systemen
- RoguePlanet – Angriffsmethode, die selbst auf vollständig gepatchten Systemen funktionieren kann
- ShieldBreak – Defender-Exploit umgeht RoguePlanet-Patch