Il ricercatore che si firma Nightmare Eclipse — lo stesso autore di RoguePlanet, lo zero-day per Microsoft Defender pubblicato lo scorso giugno — ha colpito ancora. La nuova tecnica, battezzata ShieldBreak e ora identificata come CVE-2026-69414 (CVSS 7.8, con indice di sfruttabilità Microsoft "Exploitation More Likely"), non è una falla nuova di zecca: è un bypass completo della patch che Microsoft aveva rilasciato per RoguePlanet (CVE-2026-50656). In altre parole, secondo il ricercatore la correzione di giugno non ha chiuso davvero il problema, ha solo spostato l'asticella.

Cosa è successo

RoguePlanet sfruttava una race condition nel componente antivirus di Windows per ottenere una shell con privilegi SYSTEM su macchine completamente aggiornate. Microsoft l'aveva corretta nel Patch Tuesday di giugno. ShieldBreak, reso pubblico a metà agosto, dimostra che la stessa classe di race condition è ancora sfruttabile aggirando il fix: il proof-of-concept, testato su Windows 11 25H2 (canale Canary incluso) e Windows Server 2025, ha riportato un tasso di successo del 100% nelle prove del ricercatore.

Due dettagli tecnici meritano attenzione. Primo, si tratta di un'escalation di privilegi locale: serve un accesso preliminare alla macchina, non è sfruttabile da remoto senza autenticazione. Secondo, e più controintuitivo, la tecnica funziona solo se Microsoft Defender è attivo: è la stessa presenza dell'antivirus a creare la finestra di race condition che l'exploit sfrutta per elevarsi a SYSTEM. Al momento della pubblicazione di questo articolo Microsoft non ha rilasciato una patch né indicato una tempistica, limitandosi a confermare di essere al lavoro su una correzione.

Un pattern che si ripete

È il terzo round in pochi mesi tra lo stesso ricercatore e lo stesso prodotto: dopo aver reso pubbliche in passato altre falle di Defender — poi finite nel catalogo KEV di CISA perché sfruttate attivamente — e dopo RoguePlanet a giugno, ShieldBreak conferma che la superficie di attacco della race condition non è stata bonificata alla radice. Per chi gestisce endpoint Windows in azienda, la lezione operativa è che un CVE "corretto" nel bollettino mensile non chiude automaticamente il rischio se il fix affronta il sintomo e non la causa: va monitorato se lo stesso ricercatore o altri pubblicano varianti nelle settimane successive.

Cosa significa per le aziende italiane

Microsoft Defender è l'antivirus più diffuso nel parco endpoint delle aziende italiane, in particolare tra PMI e pubblica amministrazione che si affidano alla protezione inclusa in Windows senza un EDR di terze parti sovrapposto. Questo rende ShieldBreak rilevante su scala ampia: non serve un attaccante sofisticato per sfruttarlo, basta un exploit pubblico e un primo punto d'appoggio sulla macchina — ad esempio tramite phishing, credenziali rubate o una vulnerabilità applicativa minore usata come apripista.

Il rischio concreto non è l'accesso iniziale, ma quello che viene dopo: un attaccante che ottiene privilegi SYSTEM può disattivare i controlli di sicurezza residui, muoversi lateralmente nella rete con privilegi elevati, installare persistenza difficile da rimuovere e accedere a credenziali e segreti custoditi sulla macchina. Per le organizzazioni che si affidano a Defender come unico strato di protezione endpoint, senza allowlisting applicativo o EDR comportamentale, la finestra di esposizione tra un exploit pubblico e la patch ufficiale è il momento di massimo rischio.

Sul piano regolatorio, per i soggetti in perimetro NIS2 una compromissione che sfrutta un privilege escalation pubblico e non corretto, seguita da movimento laterale o esfiltrazione, può configurare un incidente significativo da notificare al CSIRT Italia (pre-notifica entro 24 ore, notifica entro 72). Anche fuori dal perimetro NIS2, è comunque il tipo di scenario che un piano di risposta agli incidenti dovrebbe già prevedere: un LPE pubblico senza patch è esattamente la finestra che i playbook di threat hunting dovrebbero coprire con regole dedicate.

Cosa fare subito

  • Non esiste ancora una patch ufficiale: monitorare gli avvisi Microsoft e il catalogo KEV di CISA per l'eventuale conferma di sfruttamento attivo in rete.
  • Applicare il principio del privilegio minimo sugli account utente, per ridurre il numero di macchine dove un attaccante può ottenere il primo accesso necessario a innescare l'escalation.
  • Affiancare a Defender un controllo comportamentale o un EDR capace di rilevare spawn anomali di processi con privilegi SYSTEM, non solo la scansione basata su firme.
  • Valutare l'allowlisting applicativo (application control) sugli endpoint critici: nel caso di RoguePlanet, controlli di questo tipo si sono dimostrati efficaci nel bloccare l'attacco anche senza patch.
  • Verificare che i log di sicurezza raccolgano gli eventi di creazione processo generati dai componenti Defender, utili per il threat hunting retrospettivo se dovesse emergere sfruttamento attivo.
  • Tenere sotto osservazione ulteriori pubblicazioni dello stesso ricercatore: lo storico recente suggerisce che il tema non è chiuso con questo singolo CVE.

Per approfondire l'origine della vicenda, si veda il nostro articolo su RoguePlanet, il primo zero-day di questa serie.