ShieldBreak è una vulnerabilità di Microsoft Defender che può consentire a un utente con accesso locale al computer di ottenere privilegi SYSTEM su Windows. Microsoft l’ha identificata come CVE-2026-69414 e, al 18 agosto 2026, non ha ancora distribuito l’aggiornamento di sicurezza definitivo.
Questo non significa però che qualcuno possa prendere il controllo del tuo PC semplicemente collegandosi da Internet.
ShieldBreak è una vulnerabilità di elevazione locale dei privilegi: prima di poterla sfruttare, un aggressore deve riuscire a eseguire codice sul computer con privilegi inferiori.
La domanda importante diventa quindi: come capire se il proprio PC può essere interessato e cosa conviene fare fino all’arrivo della patch?
| Domanda | Risposta |
|---|---|
| ShieldBreak riguarda Microsoft Defender? | Sì |
| CVE associata | CVE-2026-69414 |
| Può ottenere privilegi SYSTEM? | Sì |
| Richiede accesso locale iniziale? | Sì |
| Esiste un exploit pubblico? | Sì |
| Microsoft ha già pubblicato la patch definitiva? | No, al 18 agosto 2026 |
| Disattivare Defender è consigliato? | No |
| Sono confermati attacchi su larga scala? | Al momento non risultano prove pubbliche affidabili |
| Cosa fare? | Aggiornare Windows e Defender ed evitare software non affidabile |
Cos’è ShieldBreak
ShieldBreak è il nome dato a una vulnerabilità nel Microsoft Malware Protection Engine, uno dei componenti utilizzati da Microsoft Defender.
Microsoft l’ha registrata ufficialmente come CVE-2026-69414, assegnandole un punteggio CVSS 7.8, classificato come High.
Il problema consente a un attaccante che dispone già di privilegi locali limitati di tentare una elevazione dei privilegi, arrivando potenzialmente al livello NT AUTHORITY\SYSTEM.
SYSTEM è uno dei livelli di autorizzazione più elevati presenti in Windows.
Un processo che riesce a operare con questi privilegi può, a seconda delle circostanze, modificare parti sensibili del sistema, accedere a file protetti, cambiare configurazioni ed eseguire altre operazioni normalmente vietate a un account standard.
Microsoft conferma nella propria pagina ufficiale dedicata a CVE-2026-69414 che sta lavorando a un aggiornamento di sicurezza specifico per ShieldBreak.
ShieldBreak non è un malware
È importante chiarire subito un punto che può creare confusione.
ShieldBreak non è un nuovo virus da cercare sul PC.
È un metodo di sfruttamento di una vulnerabilità.
In altre parole, non devi aprire Gestione attività cercando un processo chiamato “ShieldBreak” e non esiste un’applicazione ShieldBreak che Microsoft Defender possa semplicemente mettere in quarantena.
La vulnerabilità diventa interessante per un aggressore quando riesce già a far eseguire qualcosa sul computer e vuole passare da un account con autorizzazioni limitate ai privilegi SYSTEM.
Serve prima accesso al PC?
Sì, ed è probabilmente la distinzione più importante per capire il rischio reale.
Il vettore CVSS pubblicato da Microsoft indica:
- attacco locale;
- privilegi iniziali richiesti;
- nessuna interazione aggiuntiva dell’utente necessaria durante l’elevazione;
- impatto elevato su riservatezza, integrità e disponibilità.
Questo significa che ShieldBreak non è, da sola, una vulnerabilità che permette a uno sconosciuto su Internet di entrare nel PC senza altri passaggi.
Il rischio aumenta invece se sul computer viene già eseguito:
- un programma malevolo;
- un allegato infetto;
- un installer modificato;
- software pirata;
- un falso aggiornamento;
- uno script proveniente da una fonte non affidabile;
- un programma compromesso attraverso un altro attacco.
A quel punto ShieldBreak potrebbe rappresentare il secondo passaggio utilizzato per ottenere autorizzazioni molto superiori.
ShieldBreak funziona su Windows 11 24H2?
Al momento non utilizzerei la versione 24H2 come criterio per dire che un PC è sicuro oppure vulnerabile.
Microsoft non presenta CVE-2026-69414 come una semplice vulnerabilità di una determinata build di Windows 11, ma indica come componente interessato il Microsoft Malware Protection Engine.
Questo cambia parecchio il modo in cui bisogna interpretare il problema.
Il fatto di avere Windows 11 24H2 non permette quindi, da solo, di escludere ShieldBreak.
E Windows 11 25H2?
Qui abbiamo qualche informazione pubblica in più.
Il proof of concept divulgato dal ricercatore è stato testato pubblicamente anche sulle versioni recenti di Windows 11 25H2, e diversi ricercatori hanno verificato il funzionamento dell’elevazione dei privilegi.
Microsoft, però, non ha pubblicato una tabella che dica semplicemente:
“24H2 vulnerabile, 25H2 vulnerabile, versione X sicura”.
Per questo non consigliamo di controllare soltanto la versione di Windows.
La vulnerabilità riguarda il motore antimalware utilizzato da Defender e la situazione potrà cambiare quando Microsoft distribuirà un nuovo engine o un aggiornamento specifico.
Come controllare quale versione di Windows 11 stai usando
Conoscere la build rimane comunque utile.
Premi:
Windows + R
digita:
winver
e premi Invio.
Comparirà una finestra contenente:
- Windows 11;
- versione installata;
- numero della build del sistema operativo.
Annota questi dati.
Non servono a stabilire da soli se ShieldBreak può essere sfruttata, ma saranno utili quando Microsoft pubblicherà informazioni più precise sulla patch.
Come controllare Microsoft Defender
Apri Sicurezza di Windows dal menu Start.
Vai quindi in:
Protezione da virus e minacce
e cerca la sezione relativa agli aggiornamenti della protezione.
Da qui puoi verificare la disponibilità di nuovi aggiornamenti delle informazioni di sicurezza.
Microsoft distribuisce separatamente diversi componenti di Defender, tra cui:
- piattaforma antivirus;
- motore antimalware;
- security intelligence.
Il motore viene aggiornato periodicamente e proprio per questo controllare soltanto Windows Update potrebbe non raccontare tutta la situazione.
Microsoft raccomanda di mantenere aggiornati piattaforma, engine e security intelligence di Defender.
Come aggiornare subito Microsoft Defender
Non devi installare programmi esterni.
Apri:
Sicurezza di Windows → Protezione da virus e minacce
quindi raggiungi:
Aggiornamenti della protezione → Controlla aggiornamenti
Lascia completare il controllo.
Dopo aver aggiornato Defender, apri anche:
Impostazioni → Windows Update
e seleziona:
Verifica disponibilità aggiornamenti
Installa ciò che viene proposto e riavvia il computer quando richiesto.
Una volta riavviato, esegui nuovamente Windows Update.
Questo non significa che la correzione definitiva di ShieldBreak sia già disponibile: al 18 agosto Microsoft afferma ancora di essere al lavoro sull’aggiornamento specifico. Serve però a evitare di rimanere indietro anche con le altre correzioni di sicurezza.
Conviene disattivare Microsoft Defender?
No.
Questo è probabilmente il consiglio più importante dell’intera guida.
I test pubblici indicano una caratteristica particolare dell’exploit: ShieldBreak sembra dipendere dalla presenza di Microsoft Defender attivo.
Potrebbe quindi sembrare logico pensare:
“Se spengo Defender, ShieldBreak non funziona”.
Il ragionamento è però pericoloso.
Disattivare l’antivirus elimina una delle principali protezioni contro proprio quei malware, installer infetti e file malevoli che potrebbero rappresentare il primo passaggio necessario per raggiungere la vulnerabilità.
In pratica potresti bloccare uno specifico exploit aumentando contemporaneamente l’esposizione a molte altre minacce.
Microsoft stessa avverte che disabilitare Defender senza un’altra protezione antivirus lascia il dispositivo esposto al malware.
La soluzione prudente è quindi mantenere Defender attivo e aggiornato, non spegnerlo.
Se vuoi aumentare ulteriormente la sicurezza del computer, nella nostra guida su come rendere Windows più protetto abbiamo raccolto diverse misure aggiuntive integrate nel sistema operativo.
Cosa puoi fare fino all’arrivo della patch
Non esiste un pulsante che renda oggi un PC “immune a ShieldBreak”.
Puoi però ridurre parecchio la probabilità che un aggressore riesca ad arrivare alla fase necessaria per sfruttarla.
Le precauzioni più importanti sono:
- mantieni Windows Update attivo;
- aggiorna Microsoft Defender;
- non disattivare la protezione in tempo reale;
- evita eseguibili provenienti da siti sconosciuti;
- non utilizzare crack, activator o installer modificati;
- presta attenzione agli allegati ricevuti via email;
- aggiorna browser e programmi utilizzati quotidianamente;
- usa un account standard quando non sono necessari privilegi amministrativi;
- su PC aziendali limita l’installazione di software agli utenti autorizzati.
Questo principio vale anche oltre ShieldBreak: una vulnerabilità locale diventa molto meno utile per un aggressore se non riesce innanzitutto a eseguire codice sul computer.
Un account standard può aiutare?
Sì, soprattutto su computer aziendali o condivisi.
ShieldBreak è interessante proprio perché permette di passare da privilegi inferiori a SYSTEM.
Utilizzare continuamente Windows con un account amministratore facilita invece molte modifiche del sistema da parte dei programmi eseguiti dall’utente.
Per un PC domestico non è obbligatorio rivoluzionare immediatamente la configurazione, ma su postazioni utilizzate da dipendenti o in ambienti con dati sensibili separare account standard e amministrativi rimane una buona pratica.
L’exploit di ShieldBreak è pubblico?
Sì.
È disponibile un proof of concept, quindi la vulnerabilità non è soltanto teorica.
Il record aggiornato della CVE indica esplicitamente la presenza di un PoC pubblico.
Questo aumenta l’urgenza della correzione, perché ricercatori e potenziali aggressori possono studiare il meccanismo senza doverlo ricostruire da zero.
Non significa però automaticamente che siano già in corso campagne di attacco su larga scala.
ShieldBreak viene già sfruttata dagli hacker?
Al momento bisogna distinguere due cose.
Esistenza dell’exploit: confermata.
Campagne di attacco reali e diffuse: non risultano al momento conferme pubbliche sufficienti per affermarlo.
La disponibilità del codice aumenta naturalmente la superficie di rischio, ma presentare ShieldBreak come una vulnerabilità già utilizzata in massa contro gli utenti Windows sarebbe prematuro.
Questo è anche il motivo per cui non serve andare nel panico o disabilitare funzioni di sicurezza.
Serve invece aggiornare e limitare le occasioni in cui software non affidabile può essere eseguito.
ShieldBreak e RoguePlanet: qual è la differenza?
ShieldBreak è collegata a una precedente vulnerabilità conosciuta come RoguePlanet.
RoguePlanet era stata identificata come CVE-2026-50656 e Microsoft aveva distribuito una correzione a luglio.
ShieldBreak raggiunge però un risultato simile attraverso un nuovo percorso.
Per questo viene descritta come un patch bypass: la precedente correzione impediva il metodo conosciuto, ma il ricercatore ha individuato un’altra strada per arrivare all’elevazione dei privilegi.
Microsoft ha quindi assegnato al nuovo problema una CVE differente: CVE-2026-69414.
Come sapere quando ShieldBreak sarà corretta
La cosa migliore è controllare periodicamente:
Windows Update
e:
Sicurezza di Windows → Protezione da virus e minacce → Aggiornamenti della protezione
Microsoft ha dichiarato che aggiornerà le informazioni relative a CVE-2026-69414 quando sarà disponibile la correzione.
Quando la patch arriverà, sarà importante verificare quale componente viene aggiornato e quale versione del Malware Protection Engine contiene effettivamente la correzione.
A quel punto sarà possibile stabilire con molta più precisione se un singolo PC è già protetto.
Se usi il PC per lavoro, fai un controllo in più
Su un computer aziendale la priorità dovrebbe essere maggiore.
Controlla soprattutto macchine utilizzate per:
- amministrazione;
- contabilità;
- accesso a server;
- VPN aziendali;
- sviluppo software;
- gestione di credenziali;
- infrastrutture IT.
Un attaccante che riesce a ottenere privilegi SYSTEM su una macchina già compromessa può avere possibilità molto maggiori di persistenza e movimento all’interno dell’ambiente.
È quindi utile controllare quali programmi possono essere installati dagli utenti e limitare gli eseguibili provenienti da fonti non approvate.
Sul fronte della sicurezza abbiamo visto recentemente anche CVE-2026-19478, una vulnerabilità completamente diversa che interessa GitLab: trovi il nostro approfondimento sulla falla critica di GitLab e sulle versioni da aggiornare.
Quindi il mio PC Windows 11 è vulnerabile?
Al momento non esiste un controllo semplice che permetta all’utente domestico di ottenere una risposta certa premendo un pulsante.
Microsoft identifica come vulnerabile il proprio Malware Protection Engine e sta ancora preparando una correzione.
La strategia corretta è quindi molto semplice:
- non disattivare Microsoft Defender;
- aggiorna Defender;
- installa tutti gli aggiornamenti di Windows;
- evita software e file provenienti da fonti non affidabili;
- controlla periodicamente Windows Update;
- verifica le informazioni sulla CVE quando Microsoft pubblicherà la patch.
ShieldBreak merita attenzione perché può portare ai privilegi SYSTEM e perché un exploit pubblico esiste già.
Ma il punto fondamentale resta questo: l’attacco richiede prima una presenza locale sul computer.
Ridurre la possibilità che codice sconosciuto venga eseguito sul PC rimane quindi, fino alla patch definitiva, la difesa più importante.
