Uma nova falha de dia zero (zero-day) no Microsoft Defender foi revelada pelo pesquisador de segurança conhecido como Nightmare Eclipse. O especialista tornou público o código que demonstra o problema em repositórios abertos na internet, como o GitHub. Batizada de “ShieldBreak”, a brecha permite que qualquer usuário com acesso simples obtenha privilégios de nível SYSTEM: a permissão de controle mais alta do sistema operacional, em computadores com Windows 10, Windows 11 e Windows Server.
A publicação do código ocorreu logo após a Microsoft lançar as atualizações oficiais de segurança do Pacote de Terça-Feira (Patch Tuesday) de agosto. Segundo o pesquisador responsável pelo código, o ShieldBreak funciona como uma forma de burlar a correção do RoguePlanet, um problema anterior no antivírus da empresa que havia sido corrigido no mês de julho.
Nightmare Eclipse declarou, na documentação do projeto, que a atualização anterior lançada pela empresa não resolveu o problema central. “A Microsoft falhou em corrigir adequadamente a vulnerabilidade RoguePlanet CVE-2026-50656, esta demonstração de prova de conceito exibe uma imprecisão total na correção”, afirmou.
A brecha e os impactos no Windows
Especialista em cibersegurança e ex-analista de segurança, Kevin Beaumont explicou nas redes sociais que o erro passado envolvia a manipulação de arquivos direto no disco para enganar o isolamento do antivírus. Em contrapartida, a nova brecha aproveita o processo de sincronização de arquivos em nuvem para alterar conteúdos durante a varredura do programa e libera o acesso total ao sistema.
Beaumont avaliou a descoberta e detalhou que o erro anterior usava um caminho diferente: “RoguePlanet era uma vulnerabilidade de disputa no sistema de arquivos que usava discos virtuais para enganar o processo de quarentena. O ShieldBreak altera o conteúdo de arquivos durante a varredura na nuvem do Defender”, descreveu.
O especialista também ressaltou em outra publicação que o antivírus precisa estar ativo para que o ataque aconteça.
“Testei e funciona no Windows 11 mais recente. Nightmare Eclipse publicou um dia zero não corrigido no Microsoft Defender chamado ShieldBreak, que garante privilégios SYSTEM a partir de qualquer conta de usuário”, pontuou ele.
O analista principal de vulnerabilidades da consultoria de segurança Tharros, Will Dormann, também confirmou a eficácia da falha em testes próprios publicados na rede Infosec Exchange. Ele ressaltou que o antivírus da Microsoft precisa estar ligado para que o código funcione.
Disputa no mundo da cibersegurança
A divulgação do ShieldBreak faz parte de uma disputa entre a Microsoft e Nightmare Eclipse sobre a forma de revelar falhas e o pagamento de recompensas por erros encontrados. Desde abril, o pesquisador publicou sem aviso prévio uma série de vulnerabilidades sem correção no Defender e em outros recursos do Windows, como as chamadas LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma e UnDefend.
Em comunicados oficiais lançados no blog do Centro de Resposta à Segurança da Microsoft (MSRC), a equipe da empresa criticou a exposição pública dos códigos sem tempo hábil para reparos.
“Avisos não coordenados que colocam códigos de demonstração de vulnerabilidades sem correção nas mãos de malfeitores nunca são justificáveis e trazem consequências no mundo real. Nossa Unidade de Crimes Digitais continuará movendo processos contra esses agentes”, reforçou a bic tech.
A menção a medidas judiciais gerou reação na comunidade de tecnologia. Em resposta, a Microsoft publicou uma mensagem de esclarecimento no perfil oficial do MSRC na rede X para amenizar o tom do conflito.
“Para deixar claro nossa abordagem sobre questões legais, não temos intenção de tomar medidas contra indivíduos que realizam ou publicam suas pesquisas de segurança. Quando um indivíduo quebra a lei e se envolve em atividades maliciosas causando danos reais aos nossos clientes, trabalharemos com as autoridades conforme apropriado”, respondeu.
Apesar de a empresa ter corrigido alguns dos problemas relatados pelo especialista nos pacotes lançados em junho e julho deste ano, outras falhas expostas por Nightmare Eclipse, incluindo agora o ShieldBreak, continuam sem atualização oficial de segurança.
Por falar em vulnerabilidades no universo digital, criminosos criaram uma estrutura própria de IA para aperfeiçoar ataques e vírus. Siga o TecMundo no X, Instagram, Facebook e YouTube e assine a nossa newsletter para receber as principais notícias e análises diretamente no seu e-mail.