Microsoft Defender’da Yeni Sıfır Gün Alarmı: ShieldBreak Yaması Aşıldı
Microsoft Defender’da RoguePlanet açığını kapatmak için yapılan düzeltmenin ardından ortaya çıkan ShieldBreak açığı için yayınlanan yamanın da aşılabildiği bildirildi. Güvenlik araştırmacısı Nightmare Eclipse, 8-9 Eylül 2026 tarihlerinde yayınladığı ShieldCrash adlı kavram kanıtının Microsoft’un ShieldBreak için hazırladığı düzeltmeyi atlayabildiğini öne sürdü. CVE-2026-69414 olarak izlenen ShieldBreak, Microsoft Malware Protection Engine içinde yer alan yüksek önem dereceli bir ayrıcalık yükseltme açığı olarak kayıtlara geçti.
ShieldCrash Eylül Güncellemelerini Alan Sistemleri Hedefliyor
Microsoft’un eylül ayındaki güvenlik güncellemelerinin ardından yayınlanan yeni PoC, ShieldBreak için uygulanan düzeltmenin saldırı yüzeyini tamamen kapatmadığı iddiasını gündeme taşıdı. Nightmare Eclipse, belirli koşullar altında eski saldırı yolunun yeniden tetiklenebildiğini savunurken yayınlanan ShieldCrash kodunun güncel Windows sürümlerinde çalıştığını belirtiyor. The Hacker News tarafından aktarılan değerlendirmede araştırmacının PoC’si, güncel Windows kurulumunda SYSTEM yetkisiyle dosya okuma gerçekleştirebildiğini gösteriyor.
CVE-2026-69414 kaydı, ShieldBreak’i Microsoft Defender’ın kullandığı Microsoft Malware Protection Engine içindeki bir ayrıcalık yükseltme açığı olarak tanımlıyor. Microsoft’un kayıtlarında açığın CVSS 3.1 skoru 7,8 seviyesinde bulunurken düşük ayrıcalıklı yerel bir kullanıcının etkileşimiyle sistem üzerindeki gizlilik, bütünlük ve kullanılabilirlik etkilerinin yüksek olabileceği belirtiliyor.
Microsoft Defender’daki ilk sorun CVE-2026-50656 koduyla izlenen RoguePlanet oldu. Nightmare Eclipse, haziran 2026’da yayınladığı çalışmada Defender’ın dosya işlemleri sırasında oluşan bir yarış durumundan yararlanılabildiğini gösterirken Microsoft sonraki güncellemelerinde açığı gidermeye çalıştı. ShieldBreak ise aynı açığın birebir tekrarı yerine Defender’ın farklı bir işlem yolundan yararlanan yama atlatma tekniği olarak ortaya çıktı.
Güvenlik araştırmacısı Kevin Beaumont, RoguePlanet ile ShieldBreak’in teknik açıdan aynı yöntem olmadığını belirtiyor. RoguePlanet dosya sistemi yarış durumuna dayanırken ShieldBreak, Defender’ın Cloud Filter API üzerinden gerçekleştirdiği bulut dosyası taraması sırasında kullanıcı modu geri çağırma mekanizmasını kullanarak dosya içeriğinin değiştirilmesine dayanıyor. Bu ayrım, Microsoft’un ilk açığı kapatmasına rağmen aynı güvenlik sınırına ulaşan farklı bir saldırı yolunun neden ortaya çıkabildiğini açıklıyor.
ShieldBreak’in temel riski, sınırlı yetkiye sahip bir kullanıcının daha yüksek sistem ayrıcalıklarına ulaşabilmesinden kaynaklanıyor. Ağ üzerinden doğrudan uzaktan çalıştırılan bir saldırıdan farklı olarak yerel ayrıcalık yükseltme açığı niteliğindeki senaryoda saldırganın hedef bilgisayarda önceden bir kullanıcı hesabına veya başka bir erişim noktasına sahip olması gerekiyor. PoC’nin başarılı olması hâlinde saldırgan NT AUTHORITY\SYSTEM bağlamına ulaşarak işletim sisteminde çok daha geniş yetkiler elde edebiliyor.
Microsoft Defender’ın saldırının merkezinde bulunması riski ayrıca artırıyor. Defender, Windows cihazlarında dosyaları tarayan, şüpheli içerikleri karantinaya alan ve güvenlik olaylarının tespitinde kullanılan temel bileşenlerden biri olduğu için bu katmandaki bir ayrıcalık yükseltme açığı, güvenlik yazılımının kendi işlem bağlamının kötüye kullanılmasına yol açabiliyor. Güvenlik ekipleri açısından bu tür açıklar yalnızca tek bir uygulamanın işlevini değil uç noktanın güvenlik sınırlarını da ilgilendiriyor.
Microsoft, ShieldBreak’in ilk kez duyurulmasının ardından açığı incelediğini açıklamıştı. Şirket ağustos ayında yaptığı değerlendirmede bildirilen güvenlik sorununun geçerliliğini araştırdığını belirtirken daha sonra CVE-2026-69414 için Microsoft Malware Protection Engine kapsamında düzeltme yayınlandı. Güvenlik araştırmacısının eylül ayındaki yeni çalışması ise söz konusu düzeltmenin bütün saldırı yollarını kapatmadığını iddia ediyor.
CVE kaydındaki güncellemeler de olayın hâlâ aktif biçimde takip edildiğini gösteriyor. Kayıtta Microsoft’un üretici olarak yer aldığı ShieldBreak için etkilenen Malware Protection Engine sürümleri tanımlanırken düzeltme referansı Microsoft’un güvenlik danışma sayfasına bağlanıyor. CISA tarafından yapılan zenginleştirmede ise yayınlanmış bir PoC bulunduğu ve teknik etkinin toplam düzeyde değerlendirildiği görülüyor.
Kurumsal Windows bilgisayarlarında riskin önemi, standart bir kullanıcı hesabından elde edilen erişimin daha yüksek ayrıcalıklara taşınabilmesiyle ortaya çıkıyor. Saldırganın önce başka bir yöntemle yerel erişim sağlaması gerekse de başarılı bir ayrıcalık yükseltme zinciri, endpoint üzerindeki güvenlik kontrollerinin aşılması açısından kritik sonuçlar doğurabiliyor. Türkiye’deki kurumların özellikle Microsoft Defender kullanan Windows istemcilerinde Microsoft’un yayınladığı güvenlik duyurularını ve Defender motor güncellemelerini yakından izlemesi bu nedenle önem taşıyor.
Güvenlik ekiplerinin ShieldCrash PoC’sini doğrudan üretim sistemlerinde çalıştırmak yerine Microsoft’un resmî düzeltme durumunu, Defender motor sürümünü ve güvenlik telemetrilerini kontrol etmesi daha güvenli bir yaklaşım oluşturuyor. ShieldBreak için yayınlanan düzeltmenin de yeni bir PoC ile aşılabildiği iddiası doğrulanırsa Microsoft’un yalnızca belirli bir saldırı tekniğini kapatmak yerine aynı güvenlik sınırındaki ilgili kod yollarını daha kapsamlı biçimde incelemesi gerekecek.
