Zero-Day Microsoft Defender ShieldCrash Beri Akses SYSTEM di Windows

Seorang peneliti keamanan anonim yang menggunakan nama Nightmare Eclipse merilis exploit zero-day baru yang menargetkan Microsoft Defender tidak lama setelah Microsoft meluncurkan pembaruan keamanan September 2026.

Exploit yang diberi nama ShieldCrash tersebut diklaim dapat memberikan akses dengan hak SYSTEM pada sistem Windows yang sudah sepenuhnya diperbarui. Nightmare Eclipse menyebut eksploit ini sebagai bypass terhadap perbaikan Microsoft untuk kerentanan ShieldBreak (CVE-2026-69414).

Namun, proof-of-concept (PoC) yang dirilis saat ini masih memiliki keterbatasan. Eksploit tersebut menunjukkan kemampuan membaca file secara arbitrer dengan hak SYSTEM, tetapi belum memberikan kemampuan menulis ke sistem yang berhasil dikompromikan.

ShieldCrash disebut melewati patch ShieldBreak

ShieldCrash berkaitan langsung dengan rantai kerentanan Microsoft Defender yang sebelumnya diungkap Nightmare Eclipse.

Microsoft sebelumnya telah memperbaiki ShieldBreak (CVE-2026-69414). Kerentanan tersebut sendiri merupakan bypass terhadap RoguePlanet, zero-day Microsoft Defender yang diungkap pada Juni dan kemudian ditambal Microsoft pada Juli.

Menurut Nightmare Eclipse, patch untuk ShieldBreak belum sepenuhnya menghilangkan akar masalah.

Peneliti tersebut mengklaim bahwa dalam kondisi tertentu, masalah yang sama masih dapat dipicu meskipun sistem telah menerima pembaruan keamanan September 2026.

“Microsoft has failed to properly patch ShieldBreak CVE-2026-69414.”

Nightmare Eclipse mengatakan Microsoft memang memperbaiki sejumlah bagian untuk mencegah eksploitasi ulang, tetapi masih terdapat jalur lain yang memungkinkan ShieldBreak dipicu kembali.

PoC dapat membaca file sebagai SYSTEM

Proof-of-concept ShieldCrash yang dirilis menunjukkan kemampuan melakukan arbitrary file read sebagai SYSTEM.

Menurut peneliti, kerentanan tersebut memengaruhi versi Windows yang masih didukung, termasuk:

• Windows 10
• Windows 11
• Windows Server

Dengan hak SYSTEM, proses yang berhasil mengeksploitasi celah tersebut berjalan dengan tingkat hak istimewa yang sangat tinggi pada Windows.

Meski demikian, PoC yang dirilis belum menyediakan kemampuan menulis file ke sistem korban.

Nightmare Eclipse menyatakan bahwa PoC tersebut masih berupa versi dasar dan kemungkinan dapat dikembangkan menjadi exploit yang memberikan akses SYSTEM secara lebih lengkap di kemudian hari.

Eksploit dirilis setelah Patch Tuesday

Waktu publikasi ShieldCrash menjadi perhatian karena exploit tersebut dirilis segera setelah September 2026 Patch Tuesday.

Microsoft baru saja memperbaiki ratusan kerentanan Windows dan produk lainnya dalam pembaruan keamanan September. Namun, ShieldCrash diklaim tetap dapat bekerja pada sistem yang sudah mendapatkan patch terbaru.

Jika klaim tersebut terbukti akurat, situasi ini dapat menjadi masalah serius bagi pengguna karena pemasangan Patch Tuesday terbaru tidak serta-merta menghilangkan jalur eksploitasi ShieldCrash.

Untuk saat ini, Microsoft belum memberikan konfirmasi publik bahwa ShieldCrash merupakan kerentanan baru yang belum ditambal.

Bagian dari perselisihan dengan Microsoft

Rilis ShieldCrash juga merupakan bagian dari perselisihan yang lebih panjang antara Nightmare Eclipse dan Microsoft terkait program bug bounty serta praktik pengungkapan kerentanan.

Sejak April, peneliti anonim tersebut telah mempublikasikan serangkaian zero-day yang menargetkan berbagai komponen Windows, termasuk Microsoft Defender dan BitLocker.

Beberapa nama exploit yang telah dikaitkan dengan Nightmare Eclipse antara lain:

• ShieldBreak
• LegacyHive
• RoguePlanet
• BlueHammer
• RedSun
• YellowKey
• GreenPlasma
• MiniPlasma
• UnDefend

Microsoft telah memperbaiki sejumlah kerentanan tersebut, termasuk ShieldBreak, RoguePlanet, YellowKey, GreenPlasma, dan MiniPlasma.

Namun, menurut laporan tersebut, beberapa kerentanan lain yang sebelumnya diungkap Nightmare Eclipse masih belum memiliki patch resmi dari Microsoft.

Microsoft sebelumnya memperingatkan soal aktivitas berbahaya

Perselisihan tersebut semakin memanas setelah Microsoft memberikan pernyataan mengenai tanggung jawab bersama dalam pengungkapan kerentanan dan memperingatkan kemungkinan tindakan hukum terhadap pihak yang melakukan aktivitas berbahaya yang menyebabkan kerugian nyata terhadap pelanggan.

Pernyataan tersebut kemudian memicu anggapan bahwa Microsoft secara langsung memberikan peringatan kepada peneliti keamanan tersebut.

Nightmare Eclipse tetap melanjutkan publikasi sejumlah exploit setelah pernyataan tersebut.

Dalam kasus ShieldCrash, Microsoft belum memberikan tanggapan resmi ketika dimintai komentar mengenai zero-day tersebut.

Pengguna belum memiliki patch khusus ShieldCrash

Karena belum ada konfirmasi maupun patch khusus dari Microsoft untuk ShieldCrash dalam laporan ini, pengguna dan administrator Windows sebaiknya tetap memasang seluruh pembaruan keamanan resmi yang tersedia.

Khusus untuk sistem dengan kebutuhan keamanan tinggi, administrator juga perlu memperhatikan aktivitas tidak biasa yang melibatkan proses dengan hak istimewa tinggi.

Perlu dicatat bahwa PoC yang dirilis saat ini hanya menunjukkan arbitrary file read sebagai SYSTEM, sehingga kemampuan eksploitasi penuh seperti menulis file atau menjalankan payload secara persisten belum ditunjukkan dalam kode yang dipublikasikan.

Namun, apabila teknik tersebut nantinya dikembangkan menjadi exploit penuh, dampaknya dapat menjadi jauh lebih serius karena akses SYSTEM merupakan salah satu tingkat hak istimewa tertinggi dalam Windows.

Sumber: Microsoft Security Research Center