חוקר שמזוהה בשם MSNightmare פרסם קוד ניצול הדגמה (PoC) בשם ShieldCrash, שמדגים כי גם אחרי שמיקרוסופט תיקנה את פגיעות ShieldBreak ב-Defender, עדיין נותר נתיב תקיפה שמאפשר לתהליך מקומי לגרום ל-Defender לקרוא קבצים בהרשאות SYSTEM. מיקרוסופט לא אישרה עדיין רשמית את הפער, ואין תיקון זמין.
| מזהה | מבוסס על CVE-2026-69414 ("ShieldBreak"); לעקיפה החדשה ("ShieldCrash") לא פורסם מזהה CVE נפרד עד כתיבת שורות אלה |
| מוצר וגרסאות מושפעות | Microsoft Defender (מנוע Microsoft Malware Protection Engine) על Windows 10, Windows 11 ו-Windows Server — כולל מכונות מעודכנות באופן מלא |
| חומרה (CVSS) | לא פורסם ציון רשמי לעקיפה החדשה; הפגיעות המקורית CVE-2026-69414 דורגה בעבר בטווח החמור |
| מנוצל בפועל | לא דווח על ניצול בפועל בשטח; קיים קוד הדגמה פומבי שמאפשר קריאת קבצים (לא כתיבה) בהרשאות SYSTEM |
| סטטוס תיקון | אין תיקון רשמי לעקיפה נכון לפרסום; מיקרוסופט טרם אישרה את הפער בפומבי |
מה קרה
ShieldBreak (CVE-2026-69414) התגלתה באוגוסט כפגיעות בה תוקף מקומי בעל הרשאות נמוכות יכול לגרום למנוע הסריקה של Defender לפעול בשמו בהרשאות SYSTEM. לפי הפרסום, מיקרוסופט חסמה כמה מהנתיבים שמאפשרים לנצל את הפגם, אבל השאירה תנאי ספציפי אחד פתוח — וזה בדיוק מה ש-ShieldCrash מדגים. החוקר טוען שהעקיפה עדיין משיגה את אותה תוצאה: קריאת קבצים כלשהם במערכת בהרשאות המשתמש הגבוהות ביותר, גם על מכונה שהתקינה את כל עדכוני האבטחה העדכניים.
פרסום זה הוא החלק העדכני בשרשרת ארוכה של קודי ניצול שאותו חוקר פרסם החל מאפריל נגד רכיבים שונים ב-Windows, בהם BitLocker ומנוע Defender עצמו, כחלק ממחלוקת פומבית עם מיקרוסופט על אופן הטיפול שלה בדיווחי פגיעויות. בניגוד לפגיעויות שכבר תויגו כמנוצלות בפועל, כאן מדובר בקוד הדגמה שפורסם באופן פומבי — כלומר הסיכון הוא שגם תוקפים אחרים יכולים להשתמש בו, לא רק שהוא כבר בשימוש.
נקודות לשים לב
- אין עדיין תיקון רשמי — עקוב אחר עדכוני מיקרוסופט ל-Microsoft Malware Protection Engine והתקן ברגע שיפורסם.
- הפגיעות מאפשרת קריאת קבצים בלבד, לא כתיבה או הרצת קוד מרחוק — הסיכון המרכזי הוא חשיפת מידע רגיש (כגון קבצי הגדרות או אישורים) לתוקף שכבר יש לו דריסת רגל מקומית במכונה, לא פריצה ראשונית מרחוק.
- אל תתבסס על ציון "מתוקן" מדשבורד ניהול תיקונים כדי לשלול חשיפה — העקיפה פועלת גם על מכונות שהתקינו את התיקון המקורי ל-ShieldBreak.
- מכיוון שהניצול דורש הרשאות מקומיות קודמות, תיעדוף הגנות שמצמצמות תנועה רוחבית וגישה ראשונית (הגבלת הרשאות משתמש, ניטור תהליכים חריגים) מפחית את הסיכון בפועל גם בלי תיקון.
- קוד הניצול לא פורסם כאן ולא ינותח לפרטיו — המידע החשוב לצוותי אבטחה הוא שהפער קיים, לא איך להשתמש בו.
מקורות: SecurityAffairs · Qualys
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
