Microsoft, iki aktif sıfır gün ve 113'ü kritik olmak üzere yaklaşık 970 açığı kapsayan tarihinin en büyük aylık güvenlik güncellemesini yayınladıktan günler sonra, Nightmare Eclipse adıyla bilinen araştırmacı ShieldCrash adlı yeni bir Microsoft Defender sıfır gün istismarını paylaştı.

SecurityWeek'e göre kavram kanıtı, System yetkileriyle keyfî dosya okuma gösteriyor; ancak alttaki açık daha ileri götürülerek tam System hakları elde edilebiliyor ve bu da parola karmalarını içeren SAM veritabanının kopyalanmasına yetiyor. En kritik nokta şu: istismar tamamen güncellenmiş Windows makinelerinde çalışıyor.

ShieldCrash, Defender ayrıcalık yükseltme açıklarından oluşan bir zincirin üçüncü halkası. Kendisinden önce, Ağustos 2026 Yama Salısı'nda Microsoft'un Temmuz'da yamadığı RoguePlanet (CVE-2026-50656) yarış koşulu düzeltmesini atlatmak için yayınlanan ShieldBreak geliyor. Microsoft, ShieldBreak'i (CVE-2026-69414) 14 Ağustos'ta kabul etti ve 3 Eylül'de yamaları yayınladı - araştırmacı bu yamaların eksik olduğunu söylüyor.

Hikâye tek tek hatada değil, örüntüde. SOCRadar CISO'su Ensar Seker SecurityWeek'e şöyle dedi: 'Araştırmacılar RoguePlanet ve ShieldBreak için art arda gelen düzeltmeleri atlatabiliyorsa, bu, alttaki güvenlik sınırının ya da saldırı yüzeyinin bir başka dar kapsamlı yama yerine daha kapsamlı bir yeniden tasarım gerektirebileceğine işaret eder.' Güvenlik ekiplerine Defender kurcalama korumasını açmaları, yönetici erişimini ve yerel çalıştırma yollarını sıkılaştırmaları ve Defender bileşenleri çevresindeki şüpheli süreç davranışlarını izlemeleri öneriliyor. Microsoft henüz kamuya açık bir yanıt vermedi.

Kaynaklar