ShieldBreak è il nome della nuova grana che rischia di far tremare milioni di computer con Windows. Un ricercatore di sicurezza noto con lo pseudonimo di Nightmare Eclipse ha reso pubblica una prova di concetto di questa vulnerabilità, capace di aggirare la correzione che Microsoft aveva rilasciato lo scorso mese di luglio per tappare il buco chiamato RoguePlanet, catalogato come CVE-2026-50656. In parole povere, la patch che doveva risolvere tutto non ha risolto proprio niente.
La cosa che preoccupa di più è che il nuovo exploit riesce a ottenere privilegi SYSTEM anche su macchine con Windows completamente aggiornato. Chi ricorda RoguePlanet sa che si trattava di una falla di escalation dei permessi che viveva dentro il motore di protezione contro il malware di Microsoft Defender. Il difetto originale sfruttava una condizione nel file system per far sì che il processo di quarantena di Defender andasse a manipolare determinati file di sistema. Microsoft ha corretto il tutto con un aggiornamento del componente Malware Protection Engine, ma a quanto pare la via d’attacco non è mai stata chiusa del tutto.
Un nuovo attacco che aggira le patch di Microsoft
ShieldBreak usa un meccanismo diverso ma arriva più o meno allo stesso risultato. Stando all’analisi pubblicata da Kevin Beaumont, il nuovo metodo sfrutta un hook in modalità utente per modificare il contenuto di alcuni file mentre Defender esegue una scansione tramite Cloud Filter API, la cosiddetta CFAPI. Così facendo, l’attaccante può manipolare l’interazione tra l’antivirus e i file controllati dal sistema, arrivando al livello massimo di privilegi di Windows.
Link affiliatoOttenere i permessi di NT AUTHORITY SYSTEM è una faccenda seria. Questo account, infatti, dispone di poteri persino superiori a quelli di un amministratore normale. Chi riesce a eseguire codice con questi privilegi potrebbe modificare file protetti, disattivare i meccanismi di sicurezza, installare malware persistente o combinare altri guai che compromettono del tutto il computer.
Queste sono le versioni di Windows colpite dalla falla
Il ricercatore dice di aver testato ShieldBreak sulle versioni più recenti di Windows 11 25H2, comprese le build del canale Canary, e su Windows Server 2025. Sostiene di aver ottenuto un tasso di successo del 100 nei suoi test. Segnala anche che Windows 10 e le rispettive versioni di Windows Server risultano vulnerabili, anche se la prova di concetto pubblicata al momento non offre supporto per questi sistemi.
Tutto questo vuol dire che installare gli ultimi aggiornamenti di Windows, per ora, non basta a mettere al riparo un computer da questo nuovo metodo. E la situazione si complica perché ShieldBreak è stato reso pubblico come prova di concetto, il che mette a disposizione di ricercatori e potenziali malintenzionati informazioni più che sufficienti per studiare il meccanismo e adattarlo ai propri scopi.
Link affiliatoFuente
Imagen: softzone.es