Ein Forscher umgeht Microsofts Defender-Patch zum dritten Mal in vier Monaten

Ein Sicherheitsforscher, der unter dem Namen Nightmare Eclipse agiert, hat diesen Monat auf GitHub einen funktionsfähigen Exploit veröffentlicht, der einen erst wenige Wochen zuvor ausgelieferten Microsoft-Defender-Patch umgeht – der dritte aufeinanderfolgende Bypass derselben Windows-Defender-Komponente in vier Monaten. Der Proof-of-Concept, auf den Namen ShieldCrash getauft, ermöglicht es einem Angreifer, auf vollständig gepatchten Windows-10-, Windows-11- und Windows-Server-Systemen mit den Sicherheitsupdates vom September 2026 beliebige Dateien mit SYSTEM-Rechten auszulesen.

ShieldCrash gewährt keinen Schreibzugriff, was seinen Einsatz als eigenständigen Angriff einschränkt – doch ein Lesezugriff auf Dateiebene mit SYSTEM-Rechten reicht aus, um Zugangsdaten, Konfigurationsgeheimnisse und andere sensible Daten zu extrahieren, die ein Angreifer für eine weitere Privilegienerweiterung oder laterale Bewegung im Netzwerk nutzen könnte. Noch bedeutsamer ist, dass dies belegt, dass Microsofts Fix für das zugrunde liegende Problem unvollständig war: Wie der Forscher in seiner Offenlegung formulierte, habe Microsoft „mehrere Dinge behoben, um eine erneute Ausnutzung des Problems zu verhindern", aber „eine Stelle übersehen".

Ein Muster, kein Einzelfehler

ShieldCrash ist der jüngste Eintrag in einer Kette, die im Juni 2026 mit RoguePlanet (CVE-2026-50656) begann – einer Race Condition in der Scanning-Pipeline der Malware Protection Engine, die Microsoft im Juli gepatcht hatte. Microsofts Fix wurde selbst wenige Wochen später durch einen zweiten Exploit, ShieldBreak (CVE-2026-69414), umgangen, den Microsoft erneut im September-Patch-Tuesday-Release schloss. ShieldCrash hebelt auch diesen September-Patch aus, was bedeutet, dass dieselbe Komponente in Windows Defender nun drei separate Behebungsversuche innerhalb eines einzigen viermonatigen Zeitfensters überstanden hat.

Nightmare Eclipse hat seit April 2026 neun Zero-Day-Exploits veröffentlicht, die auf Microsoft Defender, BitLocker und andere zentrale Windows-Sicherheitskomponenten abzielen. Der Forscher hat die Offenlegungen als Protest gegen das gerahmt, was er als unzureichende Bug-Bounty-Vergütung und träge Reaktionsprozesse bei Sicherheitslücken bei Microsoft beschreibt. Microsoft seinerseits hat mit öffentlichen Warnungen vor rechtlichen Schritten gegen „bösartige Aktivitäten, die echten Schaden verursachen" reagiert, ohne zu bestätigen, ob gegen diesen spezifischen Forscher vorgegangen werden soll.

Warum sich das immer wiederholt

Die wiederkehrenden Bypasses deuten auf ein strukturelles Problem hin, nicht auf einen einzelnen Programmierfehler: Patches, die eng darauf ausgerichtet sind, den spezifischen Ausnutzungspfad eines vorherigen Proof-of-Concept zu schließen, ohne die grundlegende Design-Schwachstelle zu beheben, die die Komponente überhaupt erst angreifbar gemacht hat. Dieser Ansatz kann kurzfristig erfolgreich wirken – jede einzelne CVE wird geschlossen –, während die zugrunde liegende Angriffsfläche für die nächste Variante intakt bleibt. Sicherheitsforscher haben die Scanning-Pipeline der Malware Protection Engine genau deshalb als dauerhaftes Ziel identifiziert, weil sie konstruktionsbedingt mit erhöhten Rechten läuft, was jeden Fehler darin für Angreifer unverhältnismäßig wertvoller macht als Bugs in Komponenten mit niedrigeren Rechten.

Was Organisationen tun sollten

Zum Zeitpunkt der Veröffentlichung gibt es keinen Patch für ShieldCrash. Organisationen, die Windows Defender als primären Endpunktschutz einsetzen, sollten die zugrunde liegende Malware Protection Engine als Komponente mit einem aktiven, ungelösten Ausnutzungsmuster behandeln – nicht als vollständig vertrauenswürdige Trust Boundary – und sollten zusätzlichem Endpoint-Monitoring für anomalen SYSTEM-Dateizugriff Priorität einräumen, anstatt auf einen vierten Patch-Zyklus zu warten. Organisationen mit Compliance-Anforderungen rund um Defense-in-Depth sollten ein vollständig gepatchtes System nicht als ausreichende Absicherung gegen diese spezifische Klasse von Defender-Bypasses betrachten, solange Microsoft nicht das Pipeline-Design-Problem adressiert statt der einzelnen Ausnutzungstechnik.