In questo articolo Indice dei contenuti 3 sezioni
Appena chiusa la finestra degli aggiornamenti del Patch Tuesday di agosto 2026, Microsoft Defender si è ritrovato di nuovo al centro della scena per una falla non corretta. Il ricercatore che si firma con lo pseudonimo Nightmare Eclipse ha reso pubblico un proof of concept inedito battezzato ShieldBreak, che aggira la correzione distribuita da Redmond per la vulnerabilità CVE-2026-50656, quella già nota come RoguePlanet. Tradotto in termini pratici, un processo locale con privilegi ridotti può ancora arrivare ai diritti SYSTEM sfruttando il motore antimalware di Windows.
Il problema originario era venuto a galla il 10 giugno 2026. Microsoft aveva risposto il 9 luglio portando il Malware Protection Engine alla versione 1.1.26060.3008, e per un mese sembrava tutto sistemato. Poi il medesimo ricercatore ha dimostrato di aver trovato una strada alternativa per superare quella stessa barriera.
Da RoguePlanet a ShieldBreak, cosa cambia davvero
Microsoft classifica CVE-2026-50656 come vulnerabilità di elevazione dei privilegi nel Microsoft Malware Protection Engine. Il nodo sta in un comportamento tipico dei componenti con diritti elevati come Defender, che possono finire per operare su un percorso o su un oggetto diverso da quello verificato un istante prima. RoguePlanet sfruttava esattamente quella finestra temporale, la classica race condition, permettendo a un attaccante di modificare ciò che il motore avrebbe poi elaborato con privilegi alti, ottenendo un risultato pilotato da un utente che di privilegi ne ha pochi.
ShieldBreak viene presentato come un patch bypass. Significa che la correzione di luglio ha bloccato il percorso usato dal vecchio proof of concept, pubblicato su GitHub nel repository MSNightmare, senza però eliminare tutte le condizioni che rendevano possibile lo sfruttamento della debolezza di partenza. Una tecnica specifica chiusa, quindi, e una variante equivalente rimasta aperta. Capita spesso quando il difetto nasce dall’interazione fra meccanismi diversi del sistema operativo e non da un errore isolato in poche righe di codice.
I test condivisi dal ricercatore parlano delle versioni più recenti di Windows 11 25H2, del Canary Channel di Windows Insider e di Windows Server 2025, con un tasso di successo del 100%. Windows 10 e le corrispondenti edizioni Server risulterebbero vulnerabili sul piano concettuale, anche se il codice dimostrativo attuale non li supporta.
Il salto su Windows Server e il ruolo di mpengine.dll
La differenza più rilevante rispetto a RoguePlanet riguarda proprio l’ambiente server. Il vecchio proof of concept si scontrava con un limite pratico, perché parte della tecnica richiedeva il montaggio di un’immagine ISO, operazione preclusa a un utente senza privilegi nelle configurazioni Server esaminate. ShieldBreak, secondo i risultati diffusi dall’autore, quel vincolo non lo ha più.
Il peso della cosa si capisce guardando a cosa gira su una macchina di quel tipo, tra sessioni condivise, servizi aziendali e strumenti di amministrazione. Un passaggio da utente standard a SYSTEM non equivale in automatico alla compromissione del dominio Active Directory, va detto, però offre una base comoda per recuperare credenziali, toccare i servizi, piazzare meccanismi di persistenza o spostarsi verso altri sistemi.
Tutto ruota attorno alla libreria mpengine.dll, il motore che Defender usa per analizzare oggetti sospetti. Deve aprire file, interpretare formati complessi, decomprimere archivi, dialogare con molte strutture del file system, e lo fa con privilegi elevati perché altrimenti non potrebbe ispezionare le aree che contano. Più un componente di sicurezza è potente, più pesa un errore nella gestione di dati che un utente poco privilegiato riesce a controllare. È il motivo per cui gli antivirus restano da anni una superficie d’attacco tanto interessante.
Spegnere la protezione in tempo reale non serve a nulla
Già con RoguePlanet era emerso che disattivare la protezione in tempo reale non chiudeva la porta. Vale anche qui, e usare quel toggle come rimedio temporaneo peggiora solo la capacità del sistema di intercettare malware, dato che il difetto riguarda il motore e le operazioni privilegiate che può compiere, non la scansione così come la vede l’utente nella finestra Sicurezza di Windows.
Nemmeno passare a un antivirus di terze parti va considerato una soluzione, perché negli ambienti aziendali alcuni componenti Microsoft possono restare installati o attivi in altre modalità. Mancando una correzione specifica, il margine di intervento sta nel bloccare il primo requisito dell’attacco, cioè l’esecuzione di codice da parte di un utente qualunque. Strumenti come AppLocker e Windows Defender Application Control, insieme a criteri equivalenti, servono proprio a impedire l’avvio di eseguibili e librerie non approvati.
