Nowa luka zero-day w Windows ujawniona przez badacza w momencie, gdy Microsoft nie wprowadził poprawek

Serwis CoinWorld donosi:

Badacz bezpieczeństwa ujawnił sposób wykorzystania luki zero-day w Windows o nazwie ShieldBreak. Luka ta dotyczy wbudowanego komponentu zabezpieczeń Windows Defender. Po udanym ataku, konta o niskich uprawnieniach mogą uzyskać pełną kontrolę nad urządzeniem i danymi.

Luka wpływa na wiele wersji

Według badacza Nightmare Eclipse, ShieldBreak działa na Windows 10, Windows 11 oraz Windows Server 2025, w tym na najnowszej wersji Windows 11 25H2. Opublikowany przez niego program dowodowy jest dostępny w formie aplikacji Windows i wymaga aktywnego uruchomienia przez użytkownika, aby wywołać lukę.

Badacz bezpieczeństwa Will Dormann potwierdził, że luka działa i że jednym z warunków skutecznego ataku jest włączenie Windows Defender na docelowym urządzeniu.

• Systemy dotknięte luką to Windows 10, Windows 11 i Windows Server 2025
• Wykorzystanie luki zależy od włączenia Windows Defender
• Opublikowane materiały to program dowodowy, a nie poprawka

Microsoft nie dostarczył jeszcze poprawek

Na dzień publikacji raportu przez TechCrunch, Microsoft nie wydał jeszcze aktualizacji zabezpieczeń dotyczącej ShieldBreak. Rzecznik Microsoftu nie skomentował od razu zapytań mediów. Ponieważ producent nie zakończył poprawek przed ujawnieniem szczegółów luki, problem ten został zakwalifikowany jako luka zero-day.

Ujawnienie miało miejsce zaledwie dzień po comiesięcznych rutynowych aktualizacjach zabezpieczeń Microsoftu, znanych jako "Patch Tuesday". W raporcie wspomniano, że w ciągu ostatnich dwóch miesięcy liczba poprawek wyniosła blisko 500 luk, co pokazuje, że obecne tempo napraw jest nadal intensywne.

Polityka ujawniania budzi kontrowersje

Nightmare Eclipse w wielu wpisach na blogu stwierdził, że Microsoft niewłaściwie zajmuje się zgłoszeniami o lukach i ma problemy z komunikacją, dlatego zdecydował się ujawnić odpowiednie luki. Wśród wielu luk w Windows, które wcześniej ujawnił, niektóre zostały później wykorzystane w rzeczywistych atakach na instytucje.

W maju tego roku Microsoft ostrzegł, że jeśli badacze bezpieczeństwa ujawniają szczegóły luk zero-day poza polityką ujawniania firmy, mogą stanąć w obliczu działań prawnych. To oświadczenie wywołało reakcję w społeczności bezpieczeństwa, a wielu badaczy zgłosiło podobne doświadczenia. Później Microsoft częściowo wycofał się z tych stwierdzeń, ale oryginalny wpis nadal pozostaje online.

W raporcie wspomniano również, że Microsoft coraz częściej korzysta z AI do wykrywania i usuwania wad bezpieczeństwa, co również przyczynia się do utrzymania wysokiej liczby poprawek co miesiąc.

Niniejsza treść ma charakter wyłącznie informacyjny i nie stanowi porady finansowej, inwestycyjnej, prawnej ani podatkowej. Wszelkie wydarzenia, nagrody, promocje online lub powiązane informacje, o których tu mowa, nie powinny być traktowane jako rekomendacja, zachęta ani zaproszenie do kupna, sprzedaży, wymiany lub innego rodzaju obrotu aktywami kryptograficznymi. Aktywa kryptograficzne charakteryzują się dużą zmiennością i mogą prowadzić do strat. Dostępność usług, produktów i powiązanych wydarzeń WEEX może się różnić w zależności od regionu. Użytkownik jest odpowiedzialny za upewnienie się, że jego udział jest zgodny z obowiązującymi lokalnymi przepisami i regulacjami.