Tage nachdem Microsoft sein bislang größtes monatliches Sicherheitsupdate veröffentlicht hatte - mit rund 970 Lücken, darunter zwei aktiv ausgenutzte Zero-Days und 113 kritische - hat der als Nightmare Eclipse bekannte Forscher einen neuen Microsoft-Defender-Zero-Day namens ShieldCrash veröffentlicht.

Der Proof of Concept zeigt einen beliebigen Dateizugriff mit System-Rechten, doch die zugrunde liegende Schwachstelle lässt sich weiter ausnutzen, um volle System-Rechte zu erlangen - genug, um die SAM-Datenbank mit Passwort-Hashes auszulesen, berichtet SecurityWeek. Entscheidend: Der Exploit funktioniert auf vollständig gepatchten Windows-Rechnern.

ShieldCrash ist das dritte Glied einer Kette von Defender-Schwachstellen zur Rechteausweitung. Zuvor kam ShieldBreak, veröffentlicht am Patchday im August 2026 als Umgehung von Microsofts Fix für RoguePlanet (CVE-2026-50656), eine im Juli gepatchte Race Condition. Microsoft bestätigte ShieldBreak (CVE-2026-69414) am 14. August und lieferte am 3. September Fixes - die laut dem Forscher unvollständig sind.

Nicht der einzelne Bug ist die Geschichte, sondern das Muster. 'Wenn Forscher aufeinanderfolgende Fixes für RoguePlanet und ShieldBreak umgehen können, deutet das darauf hin, dass die zugrunde liegende Sicherheitsgrenze oder Angriffsfläche eine umfassendere Neugestaltung braucht statt eines weiteren eng gefassten Patches', sagte SOCRadar-CISO Ensar Seker gegenüber SecurityWeek. Sicherheitsteams wird empfohlen, den Defender-Manipulationsschutz zu aktivieren, Adminzugriffe und lokale Ausführungspfade einzuschränken und auf verdächtiges Prozessverhalten rund um Defender-Komponenten zu achten. Microsoft hat sich bislang nicht öffentlich geäußert.

Quellen