Pesquisador supera o patch do Microsoft Defender pelo terceiro vez em quatro meses

Um pesquisador de segurança que opera sob o nome Nightmare Eclipse publicou no GitHub este mês um exploit funcional que contorna um patch do Microsoft Defender lançado apenas semanas antes — o terceiro bypass consecutivo do mesmo componente do Windows Defender em quatro meses. O proof-of-concept, batizado de ShieldCrash, permite que um invasor leia arquivos arbitrários com privilégios de SYSTEM em máquinas totalmente atualizadas com Windows 10, Windows 11 e Windows Server rodando as atualizações de segurança de setembro de 2026.

O ShieldCrash não concede acesso de escrita, o que limita seu uso como ataque isolado — mas leitura de arquivos em nível SYSTEM é suficiente para extrair credenciais, segredos de configuração e outros dados sensíveis que um invasor poderia usar para escalar privilégios ou se mover lateralmente pela rede. Mais significativo ainda, isso demonstra que a correção da Microsoft para o problema subjacente foi incompleta: como o próprio pesquisador colocou em sua divulgação, a Microsoft "corrigiu várias coisas para evitar a reexploração do problema", mas "deixou passar um ponto."

Um padrão, não um bug isolado

O ShieldCrash é a entrada mais recente de uma cadeia que começou em junho de 2026 com o RoguePlanet (CVE-2026-50656), uma race condition no Pipeline de escaneamento do Malware Protection Engine que a Microsoft corrigiu em julho. A correção da Microsoft foi ela mesma contornada semanas depois por um segundo exploit, o ShieldBreak (CVE-2026-69414), que a Microsoft voltou a corrigir no Patch Tuesday de setembro. O ShieldCrash derrota também esse patch de setembro, o que significa que o mesmo componente subjacente do Windows Defender falhou em três tentativas de remediação distintas dentro de uma única janela de quatro meses.

Nightmare Eclipse lançou nove exploits zero-day desde abril de 2026, mirando o Microsoft Defender, o BitLocker e outros componentes centrais de segurança do Windows. O pesquisador enquadrou as divulgações como um protesto contra o que descreve como compensação inadequada no bug bounty e práticas lentas de resposta a vulnerabilidades na Microsoft. A Microsoft, por sua vez, respondeu com avisos públicos sobre possíveis ações legais contra "atividades maliciosas causando danos reais", sem confirmar se pretende mover alguma ação contra este pesquisador específico.

Por que isso continua acontecendo

Os bypasses recorrentes apontam para um problema estrutural, e não para um único erro de código: patches voltados especificamente para fechar o caminho de exploração utilizado em um proof-of-concept anterior, sem tratar a fraqueza de design mais ampla que tornava o componente explorável em primeiro lugar. Essa abordagem pode parecer bem-sucedida no curto prazo — cada CVE individual é fechado — enquanto mantém a superfície de ataque subjacente intacta para a próxima variante. Pesquisadores de segurança apontaram o Pipeline de escaneamento do Malware Protection Engine como um alvo persistente justamente porque ele roda com privilégios elevados por design, tornando qualquer falha nele desproporcionalmente valiosa para os invasores em comparação com bugs em componentes de menor privilégio.

O que as organizações devem fazer

Não há patch para o ShieldCrash até o momento desta publicação. Organizações que usam o Windows Defender como principal proteção de endpoint devem tratar o Malware Protection Engine subjacente como um componente com um padrão de exploração ativo e não resolvido — e não como um limite de confiança plenamente confiável —, priorizando monitoramento adicional de endpoint para acessos anômalos a arquivos em nível SYSTEM, em vez de aguardar um quarto ciclo de patch para fechar definitivamente a brecha. Organizações com requisitos de compliance relacionados a defesa em profundidade não devem tratar um sistema totalmente atualizado como garantia suficiente contra essa classe específica de bypass do Defender até que a Microsoft resolva o problema de design do Pipeline, e não apenas a técnica de exploração individual.