Windows aggiornato non basta: ShieldBreak bypassa Defender
VERIFICATO · Ultima verifica: 13 agosto 2026
Il PoC ShieldBreak e CVE-2026-50656 sono stati verificati su fonti primarie; ScelgoIo non ha eseguito direttamente l'exploit.
Situazione: non risulta ancora una nuova correzione Microsoft specifica per ShieldBreak.
Un ricercatore ha pubblicato ShieldBreak, un proof of concept che secondo l'autore aggira la correzione rilasciata da Microsoft per RoguePlanet (CVE-2026-50656) e consente a un processo con privilegi bassi di eseguire codice a livello SYSTEM sui sistemi Windows 11 25H2 e Windows Server 2025 da lui testati. Will Dormann ha riferito di aver verificato il funzionamento dell'exploit e che Defender deve essere attivo perché l'escalation riesca. Microsoft non ha ancora rilasciato una correzione specifica per ShieldBreak né ha fornito una valutazione tecnica pubblica del nuovo PoC. In questa guida spiego cosa è stato dimostrato, cosa significa per un utente Windows e cosa fare.
In breve
Il 12 agosto 2026 il ricercatore noto come Nightmare Eclipse / Chaotic Eclipse ha pubblicato ShieldBreak, un proof of concept che secondo l'autore aggira la correzione di RoguePlanet e sfrutta nuovamente un percorso del Microsoft Malware Protection Engine per eseguire codice a livello SYSTEM. Il PoC è stato indicato dal ricercatore come testato su Windows 11 25H2 e Windows Server 2025; il ricercatore considera vulnerabile anche Windows 10. Will Dormann ha riferito di aver verificato il funzionamento dell'exploit e confermato che Defender deve essere attivo perché l'escalation riesca. Al momento della pubblicazione Microsoft non ha rilasciato una correzione specifica né ha fornito una valutazione tecnica pubblica. ShieldBreak è un'escalation locale dei privilegi: un aggressore deve prima riuscire a eseguire codice sul sistema della vittima per poterla sfruttare.
- Fonti utilizzate: repository originale di Nightmare Eclipse / Chaotic Eclipse; verifica di Will Dormann riportata da TechCrunch; NVD e MSRC per i riferimenti Microsoft.
- Non ho riprodotto personalmente l'exploit né verificato il proof of concept in un ambiente Windows reale: le informazioni derivano dalle fonti citate.
- Dato non disponibile pubblicamente: numero di sistemi effettivamente colpiti da attacchi reali che sfruttano ShieldBreak; non risultano, nelle fonti consultate, prove di impiego criminale attivo al momento della pubblicazione di questo articolo.
- Ultima verifica dell'articolo: 12 agosto 2026, ore 21:10 CEST. La situazione potrebbe evolvere dopo la pubblicazione.
Il titolo "Windows completamente aggiornato" è diventato, per molti utenti, sinonimo di "Windows al sicuro". ShieldBreak ricorda che aggiornare il sistema è una condizione necessaria, ma non sempre sufficiente: quello che il ricercatore presenta come un nuovo zero-day è stato divulgato senza una correzione specifica disponibile. Quello che però è importante capire subito — e che spiegherò in dettaglio — è che questo exploit non permette a un estraneo di entrare nel computer da remoto solo perché Defender è installato. Il meccanismo è diverso, più specifico, e va compreso bene per valutare correttamente il rischio.
- Cos'è ShieldBreak
- Come funziona: l'escalation locale dei privilegi
- Il collegamento con RoguePlanet e CVE-2026-50656
- La conferma indipendente di Will Dormann
- Cosa NON fa ShieldBreak: il punto più importante
- Perché Defender è coinvolto — e perché non va disattivato
- Qual è il rischio reale oggi
- Cosa fare concretamente
- Cosa sappiamo
- Domande frequenti
Cos'è ShieldBreak
ShieldBreak è il nome dato dal ricercatore a un nuovo proof of concept che, secondo l'autore, aggira la correzione rilasciata da Microsoft per RoguePlanet (CVE-2026-50656) sfruttando un percorso del Microsoft Malware Protection Engine. Al momento non risulta una nuova CVE assegnata né una classificazione ufficiale Microsoft: si tratta della posizione dell'autore del PoC, non ancora di una valutazione ufficiale del vendor. Il termine "zero-day" indica una vulnerabilità per la quale, al momento della divulgazione, non è disponibile una correzione efficace del produttore. Al momento della pubblicazione di questo articolo, non esiste una correzione specifica per ShieldBreak.
L'autore della scoperta è un ricercatore che opera sotto i nomi Nightmare Eclipse e Chaotic Eclipse. Il proof of concept — ovvero la dimostrazione pratica che l'exploit funziona — è stato reso pubblico il 12 agosto 2026. La pubblicazione include i dettagli tecnici e il codice necessario a riprodurre l'escalation, il che significa che chiunque con le competenze adeguate può potenzialmente usarlo.
Il PoC è stato testato, secondo il repository del ricercatore, su Windows 11 25H2 e Windows Server 2025. Il ricercatore ritiene che anche Windows 10 sia vulnerabile, anche se questa affermazione non risulta ancora confermata da test indipendenti nelle fonti consultate. Will Dormann ha verificato il funzionamento dell'exploit, ma le fonti utilizzate non specificano tutte le versioni Windows testate nella sua verifica.
Come funziona: l'escalation locale dei privilegi
Per capire ShieldBreak è necessario capire cosa significa "escalation dei privilegi" — o privilege escalation, nell'acronimo LPE (Local Privilege Escalation) usato nel settore.
Windows assegna a ogni processo un livello di privilegi. Un programma normale — un browser, un editor di testo, un gioco — gira con i privilegi dell'utente che lo ha avviato. Questi privilegi sono deliberatamente limitati: il programma può leggere i file dell'utente, scrivere nella cartella dedicata, accedere a internet, ma non può, ad esempio, modificare file di sistema critici, installare driver, o accedere ai dati di altri utenti.
Il livello SYSTEM è uno dei livelli di privilegio più elevati normalmente utilizzati dai servizi Windows. A questo livello operano i servizi fondamentali del sistema operativo, incluso — e qui sta il punto — Microsoft Defender. Un processo che ottiene privilegi SYSTEM può eseguire numerose operazioni normalmente negate ai programmi ordinari, tra cui accedere a file protetti, modificare configurazioni di sistema e intervenire sui meccanismi di sicurezza.
ShieldBreak sfrutta Microsoft Defender — che gira appunto a livello SYSTEM — per fare in modo che un processo con privilegi bassi si elevi fino a quel livello. Il meccanismo specifico sfrutta un comportamento del Microsoft Malware Protection Engine che, in certe condizioni, può essere manipolato per eseguire operazioni privilegiate per conto di un processo non privilegiato. Will Dormann ha confermato che Defender deve essere attivo perché l'escalation riesca: non è un exploit che funziona indipendentemente dall'antivirus.
Il risultato pratico, nel proof of concept, è che un processo che parte con pochi privilegi esegue codice a livello SYSTEM su un sistema completamente aggiornato.
Il collegamento con RoguePlanet e CVE-2026-50656
ShieldBreak non nasce dal nulla. La sua presentazione contestualizza esplicitamente il PoC come un bypass della patch che Microsoft aveva già rilasciato per RoguePlanet (CVE-2026-50656).
Questo tipo di dinamica — una patch che risolve una vulnerabilità ma non l'intera classe del problema, permettendo a un ricercatore di trovare una variante — è abbastanza comune nel settore della sicurezza. Non significa necessariamente che Microsoft abbia fatto un lavoro scadente con la patch di RoguePlanet: può significare che la classe di problemi sottostante è più ampia di quanto la singola correzione coprisse, oppure che il ricercatore ha trovato un percorso alternativo che la patch non aveva anticipato.
Dal punto di vista pratico per l'utente, però, il messaggio è rilevante: installare l'aggiornamento Microsoft relativo a CVE-2026-50656 non era sufficiente, secondo il ricercatore, a proteggere dal vettore dimostrato da ShieldBreak. Non perché quella correzione fosse sbagliata, ma perché ShieldBreak usa un approccio diverso che quella correzione non copriva.
Questo è esattamente il tipo di situazione in cui si trovano i ricercatori di sicurezza offensiva e i team di risposta dei vendor: una patch chiude una porta, ma la stanza ha più di un ingresso.
La conferma indipendente di Will Dormann
Uno degli elementi che distingue ShieldBreak da molte altre vulnerabilità annunciate è la rapidità con cui è arrivata una conferma indipendente. Will Dormann è un ricercatore di sicurezza con una reputazione consolidata nel settore — è noto per aver analizzato e confermato o smentito exploit di alto profilo in tempi rapidi, contribuendo a stabilire se una vulnerabilità sia reale e sfruttabile nelle condizioni dichiarate.
Dormann ha confermato che l'exploit funziona e ha precisato una condizione importante: Microsoft Defender deve essere attivo sul sistema perché l'escalation riesca. Questa non è una limitazione banale: significa che un sistema su cui Defender è stato disattivato — per scelta o per un'altra ragione — non è esposto a questa specifica catena. Non significa, ovviamente, che disattivare Defender sia una buona idea: come spiegherò nella sezione dedicata, la logica è esattamente l'opposta.
La conferma di Dormann è importante anche per un'altra ragione: riduce significativamente il margine di incertezza sulla reale sfruttabilità dell'exploit. Quando un PoC viene annunciato senza conferma indipendente, esiste sempre la possibilità che i dettagli tecnici siano imprecisi o che le condizioni necessarie siano più restrittive di quanto dichiarato. Qui quella incertezza è ridotta. Le versioni Windows esatte testate nella sua verifica non sono specificate nelle fonti consultate: i sistemi dichiarati vulnerabili — Windows 11 25H2 e Server 2025 — sono quelli indicati dal repository del ricercatore.
Cosa NON fa ShieldBreak: il punto più importante
Questa è la sezione più importante dell'articolo, e la metto esplicitamente in evidenza perché la copertura di vulnerabilità come questa tende a generare allarme sproporzionato se non viene chiarita una distinzione fondamentale.
ShieldBreak è un'escalation locale dei privilegi. Non è un exploit di esecuzione di codice remoto.
Cosa significa in pratica? Significa che per sfruttare ShieldBreak, un aggressore deve prima riuscire a far eseguire codice sul sistema. ShieldBreak non si attiva semplicemente perché Defender è installato o perché il computer è collegato a internet. Tuttavia, un file malevolo, un allegato sfruttato da un'altra vulnerabilità o un programma già compromesso potrebbe fornire il primo livello di esecuzione necessario per tentare l'escalation. Qualcuno deve avere un piede dentro — un processo in esecuzione sul sistema — per poter usare ShieldBreak come secondo passo.
Questo non significa che la vulnerabilità non sia seria. Significa che va collocata correttamente in una catena di attacco. Nella pratica, gli aggressori combinano tipicamente più vulnerabilità o tecniche: prima trovano un modo per far eseguire codice sul sistema della vittima — attraverso un allegato malevolo, un download da un sito compromesso, un exploit su un software installato — e poi usano una LPE come ShieldBreak per elevare i privilegi e ottenere il controllo completo.
ShieldBreak rende più pericoloso il secondo passo di questa catena. Non sostituisce il primo. Mantenere comportamenti sicuri — non eseguire file da fonti sconosciute, non aprire allegati non attesi, non installare software da siti non affidabili — resta la difesa più efficace contro la fase iniziale di qualsiasi attacco di questo tipo.
Perché Defender è coinvolto — e perché non va disattivato
Il fatto che ShieldBreak sfrutti Microsoft Defender può sembrare paradossale: l'antivirus che dovrebbe proteggerti diventa, in questo exploit, un trampolino per ottenere privilegi a livello SYSTEM. È comprensibile che qualcuno si chieda se disattivare Defender risolva il problema.
La risposta è no, e le ragioni sono più di una.
La prima ragione è tecnica: Will Dormann ha confermato che Defender deve essere attivo perché ShieldBreak funzioni. Ma questo non significa che spegnere Defender ti metta al sicuro da ShieldBreak in senso generale — significa solo che questa specifica catena di escalation richiede Defender attivo. Un aggressore che non trova ShieldBreak disponibile può cercare altri vettori di escalation, dei quali ce ne sono molti.
La seconda ragione è di rischio complessivo: Defender è il principale scudo contro malware, ransomware, phishing e decine di altri vettori di attacco quotidiani. Disattivarlo per evitare una vulnerabilità specifica — che richiede già che un aggressore abbia accesso al sistema — è come togliere la serratura dalla porta di casa perché qualcuno ha dimostrato che un ladro già dentro potrebbe usarla per bloccarti fuori. La serratura serve principalmente a non far entrare il ladro.
La terza ragione è pratica: Microsoft potrebbe rilasciare una correzione o una mitigazione per ShieldBreak dopo aver analizzato il PoC. La correzione, quando disponibile, potrebbe essere distribuita tramite un aggiornamento del Microsoft Malware Protection Engine, delle intelligence di sicurezza o di Windows: occorrerà seguire l'avviso ufficiale Microsoft per conoscere il canale corretto. Nel frattempo, la protezione che Defender offre contro le minacce ordinarie vale molto di più del rischio specifico introdotto da questo PoC nelle mani di un aggressore che ha già superato il primo stadio.
Il consiglio corretto non è "disattiva Defender". È: non fare nulla che permetta a codice non fidato di girare sul tuo sistema.
Qual è il rischio reale oggi
Per valutare correttamente il rischio, è utile distinguere tra diversi profili di utente.
- Utente comune con abitudini digitali prudenti. Il rischio immediato è basso. ShieldBreak richiede che un aggressore abbia già ottenuto esecuzione di codice sul sistema. Se non installi software da fonti sconosciute, non apri allegati non attesi e non scarichi eseguibili da siti non affidabili, il primo stadio dell'attacco è già molto difficile da realizzare.
- Aziende e ambienti con molti sistemi Windows. Il rischio è più rilevante. Negli ambienti aziendali, un aggressore che riesce a compromettere anche un solo sistema può ottenere privilegi SYSTEM sulla macchina compromessa, aumentando il potenziale impatto e, a seconda della configurazione dell'ambiente, facilitando ulteriori fasi dell'attacco. Per questi contesti, monitorare eventuali Indicatori di Compromissione (IoC) e applicare la correzione non appena disponibile è prioritario.
- C'è un PoC pubblico. Questo è l'elemento che distingue ShieldBreak da molte vulnerabilità. La disponibilità pubblica del codice riduce la barriera tecnica rispetto allo sviluppo di un exploit da zero e rende più importante monitorarne l'eventuale riutilizzo.
- Non risultano campagne criminali pubblicamente documentate. Al momento della verifica non emergono prove di sfruttamento attivo di ShieldBreak nelle fonti consultate. L'assenza di segnalazioni pubbliche non dimostra che non esistano attacchi non osservati o non ancora divulgati. Il PoC è stato pubblicato oggi: è presto per osservare sfruttamento su scala documentata.
- Microsoft non ha ancora risposto. L'assenza di una patch e di un commento ufficiale è l'elemento di incertezza maggiore. Non sappiamo quando arriverà la correzione, né se Microsoft sta già lavorando a una mitigazione.
Cosa fare concretamente
Per gli utenti comuni non è disponibile, al momento, una mitigazione ufficiale semplice che neutralizzi ShieldBreak. In ambito aziendale, controlli come application allowlisting, WDAC o AppLocker possono ridurre la possibilità di eseguire programmi non autorizzati, ma devono essere configurati e verificati da amministratori qualificati e non costituiscono una soluzione ufficiale al problema.
- Non eseguire file o programmi da fonti non verificate. ShieldBreak richiede che un aggressore abbia già ottenuto esecuzione di codice sul sistema. Non dargli questa opportunità è la difesa più efficace disponibile adesso. Questo significa: non aprire allegati non attesi, non scaricare software da siti diversi da quelli ufficiali, non eseguire script ricevuti via email o chat.
- Continua a mantenere aggiornati Windows, Microsoft Defender e il relativo motore di protezione. Lo so: la notizia riguarda un sistema aggiornato che risulta vulnerabile. Ma aggiornare resta fondamentale: la correzione potrebbe arrivare attraverso un aggiornamento del Microsoft Malware Protection Engine o delle intelligence di sicurezza, non necessariamente tramite un aggiornamento cumulativo di Windows. Segui l'avviso ufficiale Microsoft per conoscere il canale corretto quando sarà disponibile.
- Non disattivare Microsoft Defender. Come spiegato nella sezione dedicata, Defender deve essere attivo perché questa specifica catena funzioni — ma disattivarlo espone a rischi ordinari molto maggiori. Tienilo attivo.
- Se gestisci sistemi aziendali, monitora le fonti di sicurezza. I bollettini del Microsoft Security Response Center (MSRC) e le principali testate di sicurezza pubblicheranno aggiornamenti non appena la situazione evolverà. Microsoft potrebbe scegliere una correzione fuori banda oppure inserirla in un successivo ciclo di aggiornamenti; al momento non è stato comunicato alcun calendario.
- Il principio del minimo privilegio resta una buona pratica generale. Se hai la possibilità di configurare i sistemi che gestisci in modo che i processi ordinari girino con i privilegi minimi necessari, fallo. Non costituisce una correzione specifica di ShieldBreak — un exploit di escalation mira proprio a superare i privilegi iniziali — ma contribuisce a limitare l'impatto complessivo di una compromissione.
- Segui l'evoluzione della notizia. Le situazioni legate a zero-day pubbliche si evolvono rapidamente. Aggiorneremo questo articolo se Microsoft pubblicherà una valutazione, una mitigazione o una correzione.
Cosa sappiamo
- Repository ShieldBreak — Nightmare Eclipse — fonte primaria del ricercatore; i risultati dichiarati (incluse versioni e percentuale di successo) sono affermazioni dell'autore del PoC, non una valutazione Microsoft
- TechCrunch — ricostruzione della pubblicazione di ShieldBreak e della verifica di Will Dormann
- NVD — CVE-2026-50656 — riferimento per RoguePlanet; il ricercatore sostiene che ShieldBreak aggiri la correzione di questa vulnerabilità
- Microsoft Security Response Center — per eventuali aggiornamenti ufficiali Microsoft
Domande frequenti
Le zero-day pubbliche sono una delle situazioni più difficili da gestire per gli utenti: c'è un problema reale, ma non esiste ancora una soluzione tecnica ufficiale. In questi casi, la risposta più efficace non è il panico — è continuare a fare le cose giuste: non eseguire software non fidato, tenere il sistema aggiornato e seguire gli sviluppi da fonti affidabili. Aggiorneremo questo articolo se Microsoft pubblicherà una valutazione, una mitigazione o una correzione. Segui ScelgoIo per restare informato senza allarmismo.
E tu: usi Windows 11 aggiornato? Hai già sentito parlare di ShieldBreak da altre fonti? Scrivilo nei commenti.
Autore: Rocco Caiazza – Fondatore di ScelgoIo
