Microsoft Defender’da Yeni Zero-Day Açığı Ortaya Çıktı: Windows Sistemlerinde SYSTEM Yetkisi Alınabiliyor
Microsoft’un Eylül 2026 güvenlik güncellemelerinin hemen ardından ortaya çıkarılan ShieldCrash adlı yeni zero-day açık, güncel Windows sistemlerinde yüksek ayrıcalıklı erişim elde edilmesine yol açabiliyor. Nightmare Eclipse takma adını kullanan anonim araştırmacı, açığın Microsoft’un kısa süre önce kapattığı ShieldBreak zafiyetindeki düzeltmeyi aşabildiğini belirtirken kavram kanıtı kodunun SYSTEM yetkisiyle dosya okuma işlemi gerçekleştirdiğini açıkladı. Windows 10, Windows 11 ve desteklenen Windows Server sürümleri etkilenen sistemler arasında yer alırken Microsoft henüz ShieldCrash için resmi bir düzeltme yayımlamadı.
ShieldCrash, ShieldBreak Düzeltmesindeki Yeni Açığı Ortaya Çıkarıyor
Nightmare Eclipse, ShieldCrash’ı Microsoft Defender içindeki ayrıcalık yükseltme zincirinin yeni halkası olarak tanımlıyor. Araştırmacının açıklamasına göre saldırı yöntemi, Microsoft’un ShieldBreak olarak takip ettiği CVE-2026-69414 numaralı açığı kapatmak için yaptığı değişikliklerin belirli koşullarda aşılabilmesine dayanıyor.
Microsoft, ShieldBreak açığını Eylül 2026 güncellemelerinden kısa süre önce ele almıştı. Yeni araştırma ise güvenlik düzeltmesinin açığın temel nedenlerini tamamen ortadan kaldırmadığını öne sürüyor. ShieldCrash kavram kanıtı, saldırganın güncel bir Windows bilgisayarda SYSTEM hesabının yetkileriyle rastgele dosyaları okuyabilmesine dayanıyor.
SYSTEM hesabı, Windows işletim sisteminde normal kullanıcı hesaplarından çok daha geniş ayrıcalıklara sahip bulunuyor. Böyle bir yetki tek başına sisteme yazma erişimi sağlamasa da saldırganın hassas dosyaları okuyabilmesi, yapılandırmaları inceleyebilmesi veya başka açıklarla birlikte daha kapsamlı bir saldırı zinciri oluşturabilmesi açısından önemli bir güvenlik riski yaratıyor.
ShieldCrash’ın doğrudan uzaktan kod çalıştırma açığı olarak tanımlanmaması, riskin niteliğini değiştiriyor. Saldırganın önce hedef sistemde belirli bir erişim elde etmesi gerekebileceği için açık tek başına her Windows kullanıcısının uzaktan ele geçirilmesi anlamına gelmiyor ancak yüksek ayrıcalıklı dosya erişimi sağlayabilmesi sonraki saldırı aşamalarında kullanılabilecek değerli bir yetenek oluşturuyor.
Nightmare Eclipse, ShieldCrash’tan önce de Microsoft Defender ile Windows bileşenlerini hedef alan çok sayıda güvenlik açığını kamuoyuna açıkladı. Araştırmacının daha önce yayımladığı RoguePlanet, ShieldBreak, LegacyHive, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma ve UnDefend gibi açıklar farklı Windows güvenlik mekanizmaları veya bileşenleri üzerinde yoğunlaşıyor.
RoguePlanet açığı, ShieldBreak zincirinin önceki halkası olarak öne çıkıyor. Microsoft, RoguePlanet’i Haziran 2026’da kamuoyuna duyurulan bir sorun olarak ele aldıktan sonra Temmuz ayında yayımladığı güncellemelerle açığı kapattı. ShieldBreak ise RoguePlanet için uygulanan düzeltmeleri aşan ayrı bir yöntem olarak ortaya çıkarken ShieldCrash şimdi aynı güvenlik alanındaki yeni zayıflığı gündeme taşıyor.
Microsoft’un daha önce yayımladığı düzeltmeler, saldırı yöntemlerinin yeniden kullanılmasını engellemek üzere belirli davranışları değiştirdi. Nightmare Eclipse ise yapılan değişikliklerin saldırı zincirinin başka bir noktadan yeniden tetiklenmesini engellemediğini savunuyor. Araştırmacının iddiası doğrulanırsa Microsoft’un tek bir açığı kapatmak yerine aynı kök nedene bağlı saldırı yollarını daha kapsamlı biçimde incelemesi gerekebilir.
Güvenlik araştırmacısının yayımladığı kodun mevcut hâliyle SYSTEM seviyesinde yazma yetkisi vermemesi, açığın etkisini sınırlayan önemli bir ayrıntı oluşturuyor. Nightmare Eclipse, ilerleyen dönemde kavram kanıtını geliştirerek daha kapsamlı bir SYSTEM saldırısına dönüştürebileceğini belirtirken mevcut sürümün temel olarak ayrıcalıklı dosya okuma yeteneğini gösterdiğini ifade ediyor.
Nightmare Eclipse, ShieldCrash açıklamasını Microsoft’un hata ödül programı ve güvenlik açığı bildirim süreçleriyle yaşadığı anlaşmazlığın devamı olarak gerçekleştiriyor. Araştırmacı, nisan ayından bu yana farklı Windows bileşenlerine yönelik çok sayıda zero-day açığı yayımlarken Microsoft bazı sorunları güvenlik güncellemeleriyle giderdi.
Microsoft tarafından daha önce yapılan açıklamalarda, müşterilere gerçek zarar veren kötü niyetli faaliyetlere karşı hukuki adımlar atılabileceği belirtilmişti. Araştırmacının anonim olması ve açıklamalarını doğrudan kamuoyuna yapması nedeniyle söz konusu açıklama güvenlik topluluğunda Microsoft’un Nightmare Eclipse’e yönelik bir uyarısı olarak yorumlandı.
Microsoft, RoguePlanet, ShieldBreak, YellowKey, GreenPlasma ve MiniPlasma açıkları için düzeltmeler yayımlamış durumda. LegacyHive, BlueHammer, RedSun ve UnDefend dahil diğer bazı açıklarda ise resmi bir güvenlik yaması bulunmuyor. Bu tablo, tek bir araştırmacının yayımladığı güvenlik açıklarının Microsoft’un Windows güvenlik ekibi açısından uzun süreli bir takip sürecine dönüştüğünü gösteriyor.
Windows 10 ve Windows 11 kullanan kurumların güncel güvenlik yamalarını yüklemesi ShieldCrash’ın daha önceki saldırı zincirlerinden yararlanmasını engellemek açısından önem taşıyor. Microsoft’un henüz ShieldCrash için özel bir düzeltme yayımlamamış olması nedeniyle sistem yöneticilerinin Defender günlüklerini, ayrıcalıklı dosya erişimlerini ve olağandışı sistem davranışlarını takip etmesi de ek bir savunma katmanı sağlayabilir.
Microsoft’un yeni açığa ilişkin resmi bir açıklama yapması veya ayrı bir güvenlik güncellemesi yayımlaması, ShieldCrash’ın gerçek saldırı koşullarında ne ölçüde kullanılabildiğinin anlaşılmasında belirleyici olacak. Güvenlik topluluğunun kavram kanıtını bağımsız olarak incelemesi de saldırının hangi yapılandırmalarda çalıştığını ve ShieldBreak düzeltmesinin hangi bölümünün aşılabildiğini ortaya çıkarabilir. Windows ekosisteminde aynı güvenlik bileşenine yönelik açıkların art arda ortaya çıkması ise üreticilerin tekil yamaların yanında benzer zafiyetlerin oluşturduğu daha geniş saldırı yüzeyini değerlendirmesi gerektiğini gösteriyor.
