Vai al contenuto principale
Immagine dello exploit zero-day di ShieldBreak

ShieldBreak: La vulnerabilità 0-day di Defender di Windows senza Patch — E come affrontarla.

A metà delgiugno 2026, Microsoft ha segnalato RoguePlanet, una vulnerabilità che consente l’escalation dei privilegi nel motore di protezione da malware di Microsoft (mpengine.dll), ovvero il motore di scansione alla base di Windows Defender. Microsoft l’ha classificata come “Exploitation More Likely” nel proprio Indice di sfruttabilità e le ha assegnato un punteggio CVSS pari a 7,8. Microsoft ha rilasciato una correzione nel Malware Protection Engine versione 1,1,26060,3008 nell’ambito del ciclo di aggiornamenti “ luglio 2026 ”.

Sul sito 11 agosto 2026, un ricercatore nel campo della sicurezza, , ha reso pubblico un nuovo proof-of-concept, denominato ShieldBreak, sostenendo di essere riuscito a aggirare completamente la correzione apportata da Microsoft'nel mese di luglio. Il PoC è stato testato con un tasso di successo riportato pari al 100% nei confronti di Windows 11 25H2, comprese le build del canale Canary, e di Windows Server 2025; diverse fonti riportano che Windows 10 e le relative versioni server rimangono vulnerabili alla stessa falla sottostante, sebbene il PoC pubblico non li prenda ufficialmente di mira. Test indipendenti hanno confermato che la vulnerabilità è effettivamente sfruttabile e hanno rilevato che, affinché l’operazione vada a buon fine, è necessario che Windows Defender sia abilitato. Al momento della stesura del presente documento, Microsoft non ha rilasciato alcun aggiornamento che risolva la vulnerabilità, e la Guida agli aggiornamenti di sicurezza di relativa alla vulnerabilità CVE-2026-50656 continua a indicare l’aggiornamento del motore di luglio come soluzione disponibile.

In cosa consiste la vulnerabilità

RoguePlanet è una condizione di competizione (una finestra temporale del tipo “verifica prima, poi agisci”) presente in mpengine.dll che un aggressore locale può sfruttare durante la scansione di un file per reindirizzarla verso una shell di comando in esecuzione con i privilegi di NT AUTHORITY\SYSTEM. Microsoft'La correzione di luglio ha chiuso una via di accesso al codice vulnerabile. ShieldBreak riattiva la competizione sottostante attraverso una tecnica diversa: registra un provider di archiviazione cloud non autorizzato, lo associa a un file segnaposto appositamente creato e combina la manipolazione dei log di CLFS con i collegamenti simbolici di Object Manager per indurre la pipeline di scansione di Defender a bloccare un file di sistema legittimo (segnalato come phoneinfo.dll), mentre al suo posto viene sostituito un file dannoso, generando infine una shell a livello di sistema. In base alla mappatura al modello MITRE ATT&CK, le tecniche pertinenti sono la T1068 (Sfruttamento per l’escalation dei privilegi) e la T1574 (Dirottamento del flusso di esecuzione).

Aspetti fondamentali da tenere presenti

  • Richiede innanzitutto l’esecuzione di codice locale: un malintenzionato necessita di un punto d’appoggio esistente (una sessione utente standard, un file dannoso eseguito dall’utente o un payload della fase precedente) per ottenere l’escalation dei privilegi. Non si tratta di un attacco remoto e non autenticato.
  • Windows Affinché l’exploit funzioni, Defender deve essere abilitato e deve eseguire una scansione attiva; gli endpoint in cui Defender è disattivato o in cui è registrato un altro prodotto antivirus non sono interessati dal problema.
  • Confermato con un tasso di successo del 100% su Windows 11 25H2 (compreso il canale Canary) e Windows Server 2025; Windows 10 e i relativi server equivalenti presenterebbero la stessa vulnerabilità di fondo, ma non sono ufficialmente presi di mira dall’attuale PoC pubblico.
  • Al momento, nessun aggiornamento di sicurezza di " Microsoft " risolve la vulnerabilità ShieldBreak. L'aggiornamento (1,1,26060,3008) del motore di protezione dai malware di luglio 2026 ha risolto solo il percorso originale di RoguePlanet.

In che modo “ Tanium ” può esservi d’aiuto

Tanium Guardian: The ShieldBreak: Windows Il dashboard relativo all’exploit zero-day di Defender mostra quali endpoint abbiano Windows Defender registrato come provider antivirus attivo, la popolazione effettivamente esposta (poiché l’exploit non viene eseguito laddove Defender sia disattivato o sia registrato un prodotto diverso) e include un’azione per implementare la misura di mitigazione provvisoria: un segnaposto phoneinfo.dll da 0 byte che blocca la fase di sostituzione del file da cui dipende l’exploit, oltre a un pacchetto di rollback. Si raccomanda di testare la misura di mitigazione su un piccolo gruppo prima di implementarla su larga scala; essa potrebbe causare effetti indesiderati.

Tanium Threat Response : Eseguire i segnali nella sezione “Hunting Guidance” (Guida alla ricerca) della dashboard: uno segnala i processi figlio del processo “ Windows Error” Reporting (wermgr.exe) avviato con un comando da riga di comando -upload, mentre un altro segnala i processi non di sistema che scrivono file Report.wer nel percorso WER ReportQueue, ottimizzati per evitare falsi positivi noti ( PerfWatson2.exe e devenv.exe di Visual Studio, HxD.exe e ScenarioEngine.exe di SQL Server). L'attività ShieldBreak non modificata dovrebbe comunque attivare il segnale esistente “ Tanium : Conhost Spawned Executable” e le firme native “ Windows ” di Defender; tuttavia, gli autori degli attacchi che sfruttano l’exploit potrebbero eludere il rilevamento basato sulle firme.

Tanium Interact : Eseguite le domande predefinite della dashboard (Attività dei file degli utenti non SYSTEM per i file Report.wer, Albero dei processi discendenti di wermgr.exe e Processi degli utenti SYSTEM con errore “ Windows ” Reporting in Ancestry) per analizzare ad hoc l’attività nell’intero parco macchine.

Riferimenti

Gruppo di ricerca del Guardian

Il Guardian Research Team è un gruppo specializzato di esperti di sicurezza informatica incaricato di identificare, analizzare e fornire informazioni utili per l’azione su minacce critiche, emergenti e di tipo zero-day.