ShieldCrash 0day绕过微软Defender补丁提权

资讯专家

事件概述
研究人员 Nightmare Eclipse（别名 Chaotic Eclipse、Infinite Nightmare、MSNightmare）发布了新的 Microsoft Defender 0day 利用代码，命名为 ShieldCrash。该利用针对已安装 2026 年 9 月补丁的 Windows 系统，属于权限提升利用。

根据研究者说明，ShieldCrash 的 PoC 可展示以 System 权限进行任意文件读取；底层漏洞还可进一步用于获取完整 System 权限，例如转储 SAM 数据库。

与 ShieldBreak、RoguePlanet 的关系
Nightmare Eclipse 表示，ShieldCrash 是对 ShieldBreak 的绕过。ShieldBreak 是 2026 年 8 月 Patch Tuesday 发布的 Microsoft Defender 权限提升利用；而 ShieldBreak 本身又是对 Microsoft 修复 RoguePlanet 补丁的绕过。RoguePlanet 是一个竞态条件漏洞，曾在 2026 年 6 月 Patch Tuesday 作为 0day 发布。

微软于 7 月 19 日修补 RoguePlanet，编号为 CVE-2026-50656；8 月 14 日确认 ShieldBreak，9 月 3 日推出针对 ShieldBreak 的修复，编号为 CVE-2026-69414。

Nightmare Eclipse 称，微软针对 ShieldBreak 的补丁并不完整，相关安全缺陷仍可被利用，并发布 ShieldCrash 作为证明。SecurityWeek 已联系微软置评；截至目前，原文未包含微软回应。

专家观点与处置建议
SOCRadar CISO Ensar Seker 认为，ShieldCrash 主要引发担忧的原因，是它暴露了微软在修复底层漏洞攻击路径方面的弱点。连续绕过 RoguePlanet 和 ShieldBreak 的修复，说明相关安全边界或攻击面可能需要更全面的重新设计，而不是继续做窄范围补丁。

Seker 建议安全团队：

• 持续关注微软公告和 Defender 情报更新；
  
• 启用篡改防护；
  
• 限制管理员访问和本地执行路径；
  
• 关注与 Defender 相关机制关联的可疑进程行为。
  

他同时指出，微软应评估完整的漏洞类别及相关代码路径，而不仅是修复最新 PoC 所展示的特定条件。