Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
La pubblicazione dello zero-day ShieldBreak dimostra che anche le più recenti patch di Microsoft Defender possono essere aggirate. L'exploit consente l'escalation dei privilegi a SYSTEM su Windows 11 e Server 2025, alimentando lo scontro tra il ricercatore Nightmare Eclipse e Microsoft e riaprendo il dibattito sulla resilienza delle difese Windows.
Nightmare Eclipse continua a colpire i prodotti Microsoft. Noto anche come Chaotic Eclipse, ha pubblicato una dimostrazione di fattibilità per una nuova vulnerabilità zero-day in Microsoft Defender. Denominata ShieldBreak , la vulnerabilità consente a un utente malintenzionato locale di ottenere privilegi elevati a SYSTEM.
Secondo il ricercatore, ShieldBreak aggira completamente la patch per la vulnerabilità CVE-2026-50656 (punteggio CVSS 7.8), nota anche come RoguePlanet l. Ricordiamo che Nightmare Eclipse ha reso noto questo bug a giugno 2026 e gli sviluppatori Microsoft lo hanno corretto un mese dopo.
RoguePlanet era una vulnerabilità di tipo race condition in Microsoft Defender e consentiva l’escalation dei privilegi a SYSTEM e l’esecuzione di codice arbitrario su sistemi Windows 10 e Windows 11 completamente aggiornati.
L’exploit utilizzava dischi virtuali e operazioni di basso livello sui file per aggirare il meccanismo di quarantena di Defender, causando la sovrascrittura dei file di sistema.
Come spiega l’esperto di sicurezza Kevin Beaumont, ShieldBreak funziona in modo diverso. Il nuovo exploit utilizza un hook di callback in modalità utente e modifica il contenuto del file quando Defender analizza un file scaricato dal cloud tramite l’API Cloud Filter (CFAPI).
Nightmare Eclipse afferma che il suo exploit funziona correttamente sull’ultima versione di Windows 11 25H2 (inclusa Canary), così come su Windows Server 2025. Secondo quanto dichiarato, durante i test, lo sfruttamento della vulnerabilità ha avuto successo nel 100% dei casi.
Sebbene la vulnerabilità pubblicata dallo specialista non funzioni su Windows 10 e sulle corrispondenti versioni server, il ricercatore sottolinea che anche questi sistemi operativi sono vulnerabili al problema ShieldBreak.
La funzionalità dell’exploit zero-day è stata confermata anche da Will Dormann, analista di Tharros e rinomato ricercatore di sicurezza. Nel suo rapporto, Dormann osserva che Microsoft Defender deve essere abilitato affinché l’escalation dei privilegi abbia successo.
Vale la pena notare che l’exploit per la vulnerabilità ShieldBreak è stato pubblicato subito dopo il “Patch Tuesday” di agosto, durante il quale gli sviluppatori Microsoft hanno corretto 421 vulnerabilità. Tra le patch c’era anche una correzione per la vulnerabilità di escalation dei privilegi CVE-2026-62832, che Nightmare Eclipse aveva reso nota a luglio, soprannominandola LegacyHive .
La nuova vulnerabilità zero-day è l’ultimo episodio di un lungo conflitto tra il ricercatore e Microsoft. Dalla primavera del 2026, Nightmare Eclipse pubblica exploit per vulnerabilità zero-day in Windows, Defender e BitLocker. Il ricercatore afferma che si tratta di una protesta contro il modo in cui gli specialisti del Microsoft Security Response Center (MSRC) trattano i ricercatori di sicurezza che segnalano vulnerabilità.
Nightmare Eclipse ha accusato i rappresentanti di MSRC di aver ignorato le segnalazioni, di avere problemi di pagamento e di aver proferito minacce dirette. I rappresentanti di Microsoft, a loro volta, hanno affermato che il ricercatore stava deliberatamente ignorando la procedura coordinata di divulgazione delle vulnerabilità e che, pubblicando exploit funzionanti prima del rilascio delle patch, stava mettendo a rischio gli utenti.
Di conseguenza, lo scontro si è trasformato in una sorta di corsa all’ultimo 0day dove gli sviluppatori correggono i bug scoperti dagli specialisti, e Nightmare Eclipse continua a pubblicare nuovi exploit subito dopo il rilascio delle patch per quelli vecchi lasciando una finestra di utilizzo di circa un mese dalle prossime patch di sicurezza.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/