Microsoft Defender mit Zero-Day-Schwachstelle
- Sicherheitshinweis
© Adobe Stock
Rechteerweiterung möglich
Eine Zero-Day-Schwachstelle im Microsoft Defender ermöglicht das Ausdehnen von Rechten bis auf SYSTEM-Niveau. Dadurch kann der Windows-Schutz umgangen werden. Die Sicherheitslücke hat den Namen ShieldBreak erhalten und besitzt die Kennung CVE-2026-69414 (EUVD-2026-58811). Der CVSS-Base-Score liegt zwar nur bei 7.8/10 (hoch), jedoch ist ein PoC (Proof of Concept) veröffentlicht, was die Wahrscheinlichkeit einer Ausnutzung erhöht.
Der Microsoft Defender soll Rechner schützen vor Viren, Schadsoftware, Erpressersoftware und Betrugsversuchen (Phishing). Der Defender ist fester Bestandteil von Windows.
Empfehlungen
Solange noch kein Patch zur Verfügung steht und installiert ist, ziehen Sie die Umsetzung folgender Empfehlungen in Erwägung:
-
Da ShieldBreak verhaltensbasiert funktioniert, können Sie eine Ausnutzung über Endpoint-Detection-and-Response-Systeme (EDR) oder SIEM blockieren und dazu alarmieren.
-
Verwenden Sie die auf GitHub veröffentlichten Sigma- und Yara-Regeln für ShieldBreak.
-
Überwachen Sie ungewöhnliche Prozessaktivitäten von Defender-Komponenten, die mit erhöhten Rechten arbeiten.
-
Richten Sie restriktive Monitoring-Regeln für die Defender-Sicherheitskontrollschlüssel ein.
-
Entziehen Sie Standard-Usern lokale Administratorrechte.
-
Um das Auslesen von Identitätsdaten im Speicher zu erschweren, aktivieren Sie Windows Defender Credential Guard.
-
Unterbinden Sie die Ausführung von unbekannten Skripten und Binärdateien in Benutzerverzeichnissen.
-
Gewährleisten Sie, dass der Manipulationsschutz im Microsoft Defender zentral aktiviert ist. Das erschwert das Deaktivieren des Schutzes nach einer Rechteausweitung.
Weitere Informationen
Artikel auf The Hacker News (engl.)
Veröffentlichung bei Security Affairs (engl.)
Meldung bei BleepingComputer (engl.)