Die Defender-Lücke, die Microsoft im Juli behoben hat? Jemand ist gerade um den Fix herumgelaufen
Microsoft behob im Juli eine Microsoft-Defender-Lücke namens RoguePlanet, geführt unter CVE-2026-50656. Sie erlaubte einem bereits laufenden Programm auf einem PC, sich selbst zu SYSTEM hochzustufen - der höchsten Kontrollstufe, die Windows kennt. Am 11. August, direkt um den diesmonatigen Patch Tuesday herum, veröffentlichte der Forscher hinter der ursprünglichen Lücke ShieldBreak: eine funktionierende Umgehung dieses Fixes, die auf einem völlig anderen Weg zum selben Ergebnis führt.
Die neue Technik greift in Defender ein, während es eine aus einem Cloud-Speicher heruntergeladene Datei scannt, und tauscht den Dateiinhalt mitten im Scan aus, sodass Defender selbst am Ende den Code des Angreifers als vertrauenswürdige Windows-Komponente lädt. Der Forscher berichtet von einer Erfolgsquote von 100 Prozent unter Windows 11 25H2 und Windows Server 2025, wobei auch Windows 10 betroffen sein soll. Defender muss dafür eingeschaltet sein. Microsoft erklärt, man „prüfe aktiv die Gültigkeit und mögliche Anwendbarkeit dieser Behauptungen". Noch kein Patch, und keine Hinweise, dass es schon in echten Angriffen genutzt wird.
Für Privatnutzer erledigt ein einziges Wort in dieser Beschreibung den größten Teil der Arbeit: lokal. Niemand kann das über das Internet auf Sie abfeuern. Zuerst muss etwas auf dem eigenen Rechner laufen - ein geknacktes Spiel, ein gefälschtes Update, ein Installer aus einer Suchanzeige -, und ShieldBreak verwandelt diesen begrenzten Fuß in der Tür dann in vollständigen Besitz des PCs. Die Antwort ist also nicht, Defender abzuschalten, was die Lage nur verschlimmern würde. Sie lautet, dass die Haustür weiterhin mehr zählt als der Flur dahinter.
Erwähnenswert: Der frühere Windows-User-Profile-Service-Fehler desselben Forschers, CVE-2026-62832 oder „LegacyHive", wurde im August-Update endlich behoben - das diesmonatige Update zu installieren, ist also weiterhin der richtige Schritt.
Tendvane kann keine Lücke schließen, die Microsoft noch nicht behoben hat. Was es kann, ist bestätigen, dass die August-Patches tatsächlich auf dem PC gelandet sind und dass Defender und BitLocker weiterhin eingeschaltet sind - über die Update-Prüfung und die Sicherheitsstatus-Prüfung.