Windows Defender ShieldCrash Exploit umgeht Patch

Ein neuer Windows Defender ShieldCrash Exploit wurde am 9. September veröffentlicht und verschafft SYSTEM-Rechte auf vollständig gepatchten Windows-10-, Windows-11- und Windows-Server-Systemen, selbst auf Rechnern, die Microsofts eigenen September-Patchday-Fix für den vorherigen Fehler in derselben Familie bereits installiert hatten. Es wurde noch keine CVE-Nummer vergeben, und es gibt bisher keinen Patch oder offiziellen Workaround.

Was ist passiert

Der Forscher „Nightmare Eclipse“ veröffentlichte ShieldCrash nur wenige Tage, nachdem Microsoft einen Fix für ShieldBreak (CVE-2026-69414) ausgeliefert hatte, eine frühere Defender-Schwachstelle zur Rechteausweitung, die derselbe Forscher im August offengelegt hatte. ShieldCrash zielt auf eine Vertrauensgrenzenverletzung in der Art, wie Defenders Remediation-Pipeline Dateipfade auflöst, wenn diese Pfade den NT Object Manager-Namespace und die Hydration-Callbacks der Cloud Filter API durchqueren. Der Proof-of-Concept verschafft einem Angreifer SYSTEM-Rechte, jedoch keinen Schreibzugriff auf das kompromittierte System, eine relevante Einschränkung, die das Risiko aber nicht beseitigt: Ein SYSTEM-Fuß in der Tür reicht aus, um Sicherheitssoftware zu deaktivieren, Zugangsdaten auszulesen oder eine Folge-Payload nachzuladen. Microsoft hat bisher weder eine CVE-Kennung noch einen CVSS-Wert vergeben, und es wurde weder ein Patch noch ein dokumentierter Workaround veröffentlicht.

Dies ist die fünfte Offenlegung einer Windows-Defender- oder Kernel-Schwachstelle zur Rechteausweitung von diesem Forscher im Jahr 2026: RoguePlanet (Juni), die BlueHammer/RedSun/UnDefend-Trilogie (Juli), ShieldBreak (August) und nun der Windows Defender ShieldCrash Exploit: die zweite Offenlegung in Folge, die gezielt Microsofts eigenen Fix für den unmittelbar vorangegangenen Fehler aushebelt.

Warum das wichtig ist

Ein Patch, der innerhalb weniger Tage nach Veröffentlichung umgangen wird, ist ein anderes Governance-Problem als eine ungepatchte CVE im Backlog. Vulnerability-Management-Dashboards behandeln „gepatcht“ üblicherweise als abgeschlossenen Befund, für diese spezielle Fehlerklasse bedeutet dieser Status jedoch nicht mehr, dass das Risiko erledigt ist. Für Mittelstandsunternehmen im DACH-Raum, die Patch-Compliance für NIS2- oder Cyber-Resilience-Act-Meldungen nachverfolgen, bedeutet das in der Praxis: Der Patch-Status allein ist für diese Angriffskette kein ausreichender Nachweis der Behebung; EDR- und Endpoint-Telemetrie tragen bis zu einem offiziellen Fix einen größeren Teil der Nachweislast.

Was Sie jetzt tun sollten

1. Betrachten Sie die Installation des September-Patchday-Fixes für ShieldBreak nicht als Erledigung dieses Risikos: ShieldCrash zielt gezielt auf Systeme, auf denen dieser Fix bereits eingespielt ist.
2. Prüfen Sie Ihr EDR/SIEM auf unerwartete Prozesserstellung mit SYSTEM-Rechten im Zusammenhang mit Defenders Remediation-Pipeline sowie auf ungewöhnliche Aktivität rund um die Hydration-Callbacks der Cloud Filter API.
3. Es existiert kein offizieller Workaround und keine bestätigte Konfigurationsänderung, die diesen Weg schließt. Erhöhen Sie stattdessen die Monitoring-Sensitivität auf wichtigen Endpunkten, statt sich auf eine noch nicht existierende Abhilfemaßnahme zu verlassen.
4. Verfolgen Sie Microsofts MSRC-Advisories auf eine CVE-Vergabe und einen Patch; dies ist eine sich schnell entwickelnde Offenlegung, und die Empfehlungen können sich innerhalb weniger Tage ändern.

DIESEC-Einschätzung 

Dies ist die zweite Offenlegung in Folge von demselben Forscher, die gezielt darauf ausgelegt ist, Microsofts Fix für den vorangegangenen Fehler zu umgehen. Dieses Muster sollte als eigenständiges Signal behandelt werden: Für diese spezielle Schwachstellenklasse sollte ein ausgelieferter Patch verstärktes Monitoring auslösen, nicht die Schließung des Vorgangs. Diese Lücke sehen wir am häufigsten in Mittelstandsumgebungen, in denen Patch-Compliance als binäres Ja/Nein in einer Tabelle erfasst wird, ohne Prozess, um einen Befund erneut zu öffnen, sobald ein Bypass öffentlich bekannt wird.

Nicht sicher, ob Ihr Endpoint-Monitoring eine SYSTEM-Rechteausweitung wie diese tatsächlich erkennen würde? Kontaktieren Sie DIESEC für eine schnelle Prüfung Ihrer EDR-Erkennungsabdeckung.

Quellen: BleepingComputer | The Hacker News
Veröffentlicht: 2026-09-15 | Kategorie: Tägliche News | ~4 Min. Lesezeit