Nightmare Eclipse takma adını kullanan bir araştırmacı, Windows için ShieldBreak adlı yeni bir sıfır gün açığını yayımladı. Açığın amacı, normal kullanıcı haklarıyla kod çalıştırıldıktan sonra sistemi SYSTEM seviyesinde yetkiyle komut istemi açabilecek noktaya taşımak. SYSTEM yetkisi, standart Administrator seviyesinin de üzerinde yer aldığı için özellikle kurumsal sistemlerde ciddi risk anlamına geliyor.
ShieldBreak, daha önce gündeme gelen RoguePlanet açığının bir devamı olarak tanımlanıyor. İddiaya göre Microsoft, RoguePlanet için yayımladığı düzeltmede sorunu tamamen kapatmadı ve Windows Defender alt sistemlerindeki aynı yaklaşım yeni yöntemlerle aşılabildi. Araştırmacının paylaştığı proof-of-concept kodu da bu zincirin pratikte çalıştırılabildiğini göstermeyi amaçlıyor.
Paylaşılan bilgilere göre açık, Windows 11, Windows Server 2025 ve Windows 10’un “en güncel” sürümlerini etkileyebiliyor. Ancak yayımlanan proof-of-concept kodu yalnızca Windows 11 ve Windows Server 2025 ile sınırlı. Bu da iddianın kapsamını tam olarak doğrulamayı zorlaştırıyor. Yine de güvenlik araştırmacıları Kevin Beaumont ve Will Dormann, açığı yeniden üretebildiklerini belirtiyor.
Öte yandan son güncellemeleri almış bir Windows 11 sanal makinesinde yapılan hızlı testte exploit’in çalışmadığı aktarılıyor. Test sistemi 10.0.26200.9168 sürümünde yer alıyor ve kısa süre önce yayımlanan toplu yamaları içeriyor. Buna karşılık ShieldBreak deposundaki örnek ekran görüntüsünde exploit’in 10.0.26100.33296 sürümünde çalıştığı görülüyor. Bu fark, son salı günü dağıtılan geniş kapsamlı güncellemenin açığı kapatmış olabileceği ihtimalini güçlendiriyor.
Bir diğer önemli nokta da Microsoft Defender tarafında tespit imzasının görünmeye başlaması. Kısa bir zaman aralığında yapılan iki test arasında Defender’ın örneği algılayabildiği belirtiliyor. Bu durum, exploit kodunun en azından güvenlik yazılımı düzeyinde hızla işaretlenmeye başladığını gösteriyor.
Bununla birlikte risk tamamen ortadan kalkmış sayılmıyor. Bireysel kullanıcıların tamamı yamaları anında kurmuyor, kurumsal tarafta ise güncellemeler çoğu zaman uyumluluk ve kararlılık testleri nedeniyle gecikmeli dağıtılıyor. Sonuç olarak ShieldBreak gerçekten yamalanmış olsa bile, güncel olmayan çok sayıda Windows sisteminin bir süre daha etkilenme ihtimali bulunuyor.
