Defender torna a esporre SYSTEM dopo la patch RoguePlanet
Microsoft Defender torna a offrire un salto a SYSTEM su Windows 11 e Server 2025, e probabilmente anche su Windows 10, nonostante la correzione di giugno/luglio per RoguePlanet. Il punto non è il singolo zero-day già chiuso, ma il fatto che il trattamento dei file nel cloud riapre una strada diversa per arrivare allo stesso esito: codice utente che finisce eseguito con privilegi di sistema.
ShieldBreak sfrutta il momento in cui Defender osserva un file durante la cloud-hydration e lo sostituisce prima che la scansione finisca. Così una DLL scelta dall'attaccante viene caricata come se fosse codice di sistema attendibile. I ricercatori descrivono quindi un bypass pratico della fiducia su cui si appoggia Defender, non una semplice variante cosmetica del bug precedente.
Per chi gestisce endpoint Windows, il messaggio è che la sola idea di aver già patchato RoguePlanet non basta a chiudere il rischio. Se Defender è attivo, resta aperta una via di escalation locale su build correnti, e il problema è più ampio del percorso originale della CVE.