MitteJuni 2026 bestätigte Microsoft die Sicherheitslücke „RoguePlanet“, eine Schwachstelle zur Rechteausweitung in der Microsoft Malware Protection Engine (mpengine.dll), der Scan-Engine hinter Windows Defender. Microsoft stufte die Schwachstelle in seinem Exploitability Index als „Exploitation More Likely“ ein und wies ihr einen CVSS-Wert von 7,8 zu:. Microsoft hat im Rahmen seines „ Juli 2026 “-Patch-Zyklus einen Fix für die Malware Protection Engine, Version 1,1,26060,3008 , bereitgestellt.
Am 11. August 2026 veröffentlichte der Sicherheitsforscher öffentlich unter ein neues Proof-of-Concept namens „ShieldBreak“ und behauptete, damit den von Microsoft im Juli veröffentlichten Patch vollständig umgehen zu können. Der PoC wurde mit einer gemeldeten Erfolgsquote von 100 % unter Windows 11 25H2 – einschließlich der Builds des Canary-Kanals – sowie unter Windows Server 2025 getestet; mehrere Medien berichten, dass Windows 10 und die entsprechenden Server-Versionen weiterhin für dieselbe zugrunde liegende Sicherheitslücke anfällig sind, obwohl der öffentlich zugängliche PoC offiziell nicht auf diese abzielt. Unabhängige Tests haben bestätigt, dass der Exploit funktioniert, und ergeben, dass Windows Defender aktiviert sein muss, damit er erfolgreich ist. Zum Zeitpunkt der Erstellung dieses Artikels hat Microsoft noch kein Update veröffentlicht, das diese Umgehungsmöglichkeit schließt, und im „ -Sicherheitsupdate-Leitfaden für CVE-2026-50656“ ( ) wird das Engine-Update vom Juli weiterhin als verfügbare Abhilfemaßnahme aufgeführt.
Worum es sich bei der Sicherheitslücke handelt
„RoguePlanet“ ist eine Race-Condition (ein Zeitfenster nach dem Prinzip „erst prüfen, dann handeln“) in der Datei „mpengine.dll“, die ein lokaler Angreifer während eines Dateiscans ausnutzen kann, um diesen in eine Befehlsshell umzuleiten, die unter dem Namen „ “ und mit den Berechtigungen von „NT AUTHORITY\SYSTEM“ sowie „“ ausgeführt wird. Mit dem Juli-Patch von Microsoft wurde ein Zugriffsweg auf den anfälligen Code geschlossen. ShieldBreak eröffnet den zugrunde liegenden Wettlauf erneut mithilfe einer anderen Technik: Es registriert einen betrügerischen Cloud-Speicheranbieter, verknüpft diesen mit einer speziell präparierten Platzhalterdatei und kombiniert die Manipulation von CLFS-Protokollen mit symbolischen Links des Object Managers, um die Scan-Pipeline von Defender dazu zu verleiten, eine legitime Systemdatei (die als „phoneinfo.dll“ gemeldet wird) zu sperren, während darunter ein bösartiger Ersatz eingefügt wird, wodurch letztendlich eine Shell auf SYSTEM-Ebene erzeugt wird. In Anlehnung an das MITRE ATT&CK-Modell handelt es sich bei den relevanten Techniken um T1068 (Ausnutzung zur Rechteausweitung) und T1574 (Übernahme des Ausführungsablaufs).
Wichtige Fakten, die Sie beachten sollten
- Erfordert zunächst die Ausführung von Code auf lokaler Ebene: Ein Angreifer benötigt einen bestehenden Zugangspunkt (eine Standardbenutzersitzung, eine vom Benutzer ausgeführte schädliche Datei oder eine in einer früheren Phase eingesetzte Payload), um die Berechtigungen zu erweitern. Es handelt sich hierbei nicht um einen Fernangriff ohne Authentifizierung.
- Windows Defender muss aktiviert sein und aktiv nach dem Exploit suchen, damit dieser funktioniert; Endgeräte, auf denen Defender deaktiviert ist oder auf denen ein anderes Produkt als Antivirenprogramm registriert ist, sind davon nicht betroffen.
- Bestätigt mit einer Erfolgsquote von 100 % unter Windows 11 25H2 (einschließlich des Canary-Kanals) und Windows Server 2025; Windows 10 und die entsprechenden Server-Versionen weisen Berichten zufolge dieselbe zugrunde liegende Sicherheitslücke auf, sind jedoch nicht offiziell Ziel des derzeit öffentlich zugänglichen PoC.
- Derzeit gibt es kein Sicherheitsupdate von Microsoft, das die „ShieldBreak“-Umgehungsmöglichkeit behebt. Das Update (1,1,26060,3008) der „ Juli 2026 “-Malware-Schutz-Engine bezog sich ausschließlich auf den ursprünglichen RoguePlanet-Pfad.
Wie Tanium Ihnen helfen kann
Tanium Guardian: Das „ShieldBreak: Windows Defender Zero-Day Exploit“-Dashboard zeigt in Diagrammen an, auf welchen Endgeräten Windows Defender als aktiver Antiviren-Anbieter registriert ist – also die tatsächlich gefährdeten Systeme, da der Exploit nicht ausgeführt wird, wenn Defender deaktiviert ist oder ein anderes Produkt registriert ist. Es enthält zudem eine Maßnahme zur Bereitstellung der vorläufigen Abhilfemaßnahme: einen 0-Byte-Platzhalter für die Datei „phoneinfo.dll“, der den für den Exploit entscheidenden Schritt der Dateersetzung blockiert, sowie ein Rollback-Paket. Testen Sie die Abhilfemaßnahme zunächst an einer kleinen Gruppe, bevor Sie sie flächendeckend einführen; sie kann unerwünschte Auswirkungen haben.
Tanium Threat Response: Führen Sie die Signale im Abschnitt „Hunting Guidance“ des Dashboards aus: Eines kennzeichnet untergeordnete Prozesse des Windows-Fehlerberichtsdienstes (wermgr.exe), die mit dem Befehlszeilenparameter „-upload“ gestartet wurden, und ein anderes kennzeichnet Nicht-SYSTEM-Prozesse, die Report.wer-Dateien in den WER-ReportQueue-Pfad schreiben; diese Signale wurden hinsichtlich bekannter Fehlalarme ( PerfWatson2.exe und devenv.exe von Visual Studio, HxD.exe sowie ScenarioEngine.exe von SQL Server) optimiert. Eine unveränderte „ShieldBreak“-Aktivität sollte weiterhin das bestehende Tanium-Signal „Conhost Spawned Executable“ sowie die nativen Windows Defender-Signaturen auslösen; Angreifer, die den Exploit als Waffe einsetzen, könnten jedoch der signaturbasierten Erkennung entgehen.
Tanium Interact: Führen Sie die vorgefertigten Abfragen des Dashboards aus (Dateiaktivitäten von Nicht-SYSTEM-Benutzern für „Report.wer“-Dateien, den Nachkommen-Prozessbaum von „wermgr.exe“ sowie SYSTEM-Benutzerprozesse mit Windows-Fehlerberichterstattung in der Abstammungsstruktur), um die Aktivitäten im gesamten Bestand ad hoc zu erfassen.
Literaturverzeichnis
- Leitfaden zu Microsoft-Sicherheitsupdates, CVE-2026-50656
- CVE-2026-50656 Detail – NVD
- CVE-2026-50656 – CVE-Eintrag
- Kudelski Security, „RoguePlanet“ – Zero-Day-Schwachstelle in Microsoft Defender zur Ausweitung von Berechtigungen
- Security Affairs, ShieldBreak: Neuer Windows-Zero-Day-Exploit umgeht den „RoguePlanet“-Patch von Microsoft
- Security Affairs: Microsoft bestätigt „RoguePlanet“-Zero-Day-Sicherheitslücke – Patch befindet sich in Entwicklung
- Security Affairs: Microsoft hat eine Sicherheitslücke in Defender behoben – RoguePlanet (CVE-2026-50656)
- Tanium Threat Response – Benutzerhandbuch: Hinzufügen von Informationen (Signalen)
- Tanium Interact – Benutzerhandbuch, Interact-Übersicht
Guardian-Forschungsteam
Das Guardian-Forschungsteam ist eine spezialisierte Gruppe von Cybersicherheitsexperten, deren Aufgabe darin besteht, kritische, neu auftretende und Zero-Day-Bedrohungen zu identifizieren, zu analysieren und umsetzbare Erkenntnisse dazu bereitzustellen.
