Zero-Day Microsoft Defender “ShieldBreak” Beri Hak Akses SYSTEM di Windows yang Sudah Dipatch
Peneliti keamanan yang dikenal dengan nama Nightmare Eclipse merilis exploit zero-day baru untuk Microsoft Defender bernama ShieldBreak setelah Microsoft menerbitkan pembaruan keamanan Patch Tuesday Agustus 2026.
ShieldBreak diklaim dapat digunakan untuk memperoleh hak akses SYSTEM pada perangkat Windows yang telah mendapatkan patch terbaru. Eksploit tersebut disebut sebagai bypass terhadap kerentanan privilege escalation Microsoft Defender sebelumnya yang dikenal sebagai RoguePlanet.
Nightmare Eclipse merilis proof-of-concept (PoC) ShieldBreak setelah pembaruan keamanan Microsoft Agustus 2026 tersedia.
ShieldBreak Disebut sebagai Bypass RoguePlanet
RoguePlanet merupakan vulnerability pada Microsoft Defender yang sebelumnya diungkap pada Juni dan kemudian diperbaiki Microsoft pada Juli 2026.
Nightmare Eclipse menyatakan bahwa patch untuk vulnerability CVE-2026-50656 belum sepenuhnya menutup jalur eksploitasi sehingga ShieldBreak dapat digunakan sebagai full patch bypass.
PoC yang dirilis disebut telah diuji pada Windows 11 25H2, termasuk Canary channel, serta Windows Server 2025.
Menurut peneliti tersebut, exploit memiliki tingkat keberhasilan 100 persen dalam pengujian yang dilakukan.
Windows 10 dan edisi Windows Server terkait belum didukung secara langsung oleh PoC tersebut. Namun, Nightmare Eclipse mengatakan sistem tersebut tetap rentan terhadap teknik ShieldBreak.
Teknik Eksploitasi Berbeda dari RoguePlanet
Meskipun ShieldBreak disebut sebagai bypass terhadap RoguePlanet, peneliti keamanan Kevin Beaumont mengatakan kedua exploit tersebut bekerja dengan mekanisme yang berbeda.
RoguePlanet memanfaatkan filesystem race condition, virtual disk, serta manipulasi file menggunakan Windows NT native API untuk memanipulasi proses quarantine Microsoft Defender hingga menimpa system files.
Sementara ShieldBreak menggunakan user-mode callback hook untuk mengubah isi file ketika Microsoft Defender melakukan cloud-hydration scan melalui Cloud Filter API (CFAPI).
Perbedaan mekanisme tersebut menjadi alasan mengapa perbaikan terhadap RoguePlanet tidak secara otomatis menutup jalur yang digunakan ShieldBreak.
Microsoft Defender Harus Aktif
Will Dormann, principal vulnerability analyst di Tharros, mengonfirmasi bahwa exploit ShieldBreak dapat berfungsi.
Namun, eksploitasi tersebut membutuhkan Microsoft Defender dalam kondisi aktif agar privilege escalation dapat dilakukan.
Jika berhasil dieksploitasi, attacker dapat meningkatkan hak akses hingga SYSTEM, salah satu tingkat privilege tertinggi pada Windows.
Hak akses SYSTEM memberikan kontrol yang sangat luas terhadap sistem operasi dan resource yang tersedia pada perangkat.
Karena itu, eksploit dengan kemampuan privilege escalation seperti ShieldBreak dapat menjadi sangat berbahaya apabila attacker telah memiliki foothold atau kemampuan menjalankan kode dengan privilege yang lebih rendah pada sistem target.
PoC ShieldBreak Sudah Dipublikasikan
Berbeda dengan vulnerability yang hanya diketahui secara internal oleh vendor dan peneliti, ShieldBreak kini telah memiliki proof-of-concept exploit yang tersedia untuk publik.
PoC tersebut memperlihatkan bagaimana teknik yang digunakan dapat menghasilkan privilege escalation pada sistem Windows yang disebut sudah diperbarui dengan patch terbaru.
Publikasi PoC meningkatkan urgensi bagi administrator karena informasi teknis yang diperlukan untuk memahami dan mereproduksi eksploitasi telah tersedia.
Microsoft belum memberikan patch khusus untuk ShieldBreak ketika informasi tersebut dipublikasikan.
Karena itu, administrator perlu mempertimbangkan bahwa patch terbaru tidak selalu berarti sistem sepenuhnya terlindungi dari exploit baru yang memanfaatkan mekanisme berbeda dari vulnerability sebelumnya.
Perselisihan Microsoft dan Nightmare Eclipse Berlanjut
Kemunculan ShieldBreak juga menjadi bagian dari perselisihan yang berlangsung antara Microsoft dan Nightmare Eclipse terkait praktik vulnerability disclosure dan bug bounty Microsoft.
Microsoft sebelumnya menanggapi pengungkapan dari peneliti tersebut dengan memperingatkan kemungkinan tindakan hukum terhadap pihak yang melakukan aktivitas berbahaya dan menyebabkan kerugian nyata terhadap pelanggan.
Pernyataan tersebut memicu perhatian di kalangan peneliti keamanan karena dianggap berkaitan langsung dengan aktivitas Nightmare Eclipse.
Sejak April 2026, peneliti tersebut telah mengungkap sejumlah zero-day yang menargetkan Microsoft Defender, BitLocker, serta berbagai komponen Windows.
Di antaranya adalah LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma, dan UnDefend.
Beberapa vulnerability telah mendapatkan patch dari Microsoft, sementara sebagian lainnya masih menunggu pembaruan resmi.
Tidak Semua Zero-Day Nightmare Eclipse Telah Ditambal
Microsoft telah memperbaiki RoguePlanet pada Juli 2026.
Sementara itu, vulnerability YellowKey, GreenPlasma, dan MiniPlasma telah diperbaiki melalui Patch Tuesday Juni 2026.
Namun, beberapa vulnerability lain yang sebelumnya diungkap Nightmare Eclipse masih belum mendapatkan patch resmi ketika ShieldBreak dipublikasikan.
Kondisi tersebut menunjukkan adanya rangkaian pengungkapan vulnerability yang terus berkembang dan melibatkan berbagai komponen keamanan Windows.
Untuk ShieldBreak sendiri, Microsoft belum memberikan konfirmasi mengenai ketersediaan patch ketika informasi tersebut dirilis.
Administrator Perlu Mewaspadai Exploit Privilege Escalation
ShieldBreak berbeda dengan serangan yang langsung memberikan akses awal ke sistem. Exploit ini lebih berbahaya ketika attacker sudah memiliki kemampuan menjalankan kode pada perangkat target dengan privilege terbatas.
Dalam skenario tersebut, privilege escalation dapat digunakan untuk meningkatkan akses hingga SYSTEM dan membuka kemungkinan pengambilalihan kontrol yang lebih luas terhadap perangkat.
Dengan PoC yang sudah tersedia, organisasi perlu memberikan perhatian khusus terhadap endpoint Windows yang menggunakan Microsoft Defender, terutama sistem yang menjadi bagian dari infrastruktur penting atau memiliki akses ke resource internal.
Pemantauan aktivitas mencurigakan dan penerapan security controls berlapis menjadi penting sampai Microsoft menyediakan perbaikan resmi untuk vulnerability tersebut.
Sumber: Microsoft
