Aktualizacja Windows Defendera psuje skanowanie po naprawieniu luki ShieldBreak.
- ShieldBreak umożliwiał uzyskanie uprawnień SYSTEM w Windows.
- Po łatce Defender nie wykonuje szybkiego i pełnego skanowania.
- Powrót do poprzedniej wersji eliminuje problem.
Na początku tego miesiąca w module antywirusowym Windows Defender odkryto lukę zero-day o nazwie ShieldBreak. Wykorzystanie tej luki pozwalało przestępcom uzyskać uprawnienia poziomu SYSTEM w systemach Windows 10, Windows 11 i Windows Server, co umożliwiało im pełną kontrolę nad zainfekowanym komputerem.
Microsoft szybko wydał aktualizację zabezpieczeń mającą na celu załatanie luki. Łatka została rozpowszechniona za pośrednictwem Windows Update i Microsoft Security Intelligence Update, i początkowo była postrzegana jako rozwiązanie krytycznego problemu.
Jednak już kilka dni po zainstalowaniu aktualizacji użytkownicy zaczęli zgłaszać usterki w działaniu samego Defendara. Szybkie skanowanie i pełne skanowanie kończyły się błędem, a skaner offline zawieszał się na poziomie 91%. Przy tym ręczne skanowanie całego dysku, uruchomione przez interfejs, nadal działało, co wskazuje na specyficzny błąd w przetwarzaniu określonych trybów skanowania.
Szczegóły techniczne awarii
W dzienniku zdarzeń systemu Windows rejestrowane są błędy z kodem 0x000005, wskazujące na bibliotekę mpengine.dll – kluczowy komponent silnika antywirusowego. Pojawiają się również komunikaty o awariach sesji DefenderApiLoggerLowPriv. Według lidera forum Neowin i byłego badacza ESET, Arje Goréckiego, problem dotyczy wersji Defender v1.1.26070.7 i v1.1.26080.2, działających w połączeniu z określonymi wersjami aktualizacji Microsoft Security Intelligence.
Microsoft na razie oficjalnie nie potwierdza, że ostatnia łatka była przyczyną awarii, jednak użytkownicy zauważają, że przywrócenie systemu do wcześniejszych wersji Defendera całkowicie eliminuje problem. To pośrednio potwierdza związek między aktualizacją a zakłóceniem skanowania.
Awaria skanera jest szczególnie odczuwalna dla klientów korporacyjnych i organizacji, gdzie Windows Defender często jest używany jako główna ochrona przed złośliwym oprogramowaniem. Utrata możliwości szybkiego sprawdzania systemu utrudnia reagowanie na nowe zagrożenia, a zawieszenie skanera offline uniemożliwia sprawdzenie bez połączenia z siecią.
Eksperci zalecają tymczasowe wyłączenie automatycznych skanowań, dopóki problem nie zostanie ostatecznie rozwiązany, oraz korzystanie z alternatywnych rozwiązań antywirusowych dla krytycznych serwerów. Ponadto zaleca się regularne tworzenie punktów przywracania i przechowywanie kopii ważnych danych.
Sytuacja podkreśla znaczenie dokładnego testowania aktualizacji, szczególnie w środowiskach, gdzie ochrona przed złośliwym oprogramowaniem odgrywa kluczową rolę. Mimo szybkiej reakcji Microsoft w postaci łaty, powstały efekt uboczny pokazuje, że nawet duzi dostawcy mogą napotkać nieprzewidziane konsekwencje podczas naprawy luk w zabezpieczeniach.
Użytkownicy, którzy napotkali problem, mogą przywrócić wcześniejsze wersje Defendera poprzez cofnięcie aktualizacji lub skorzystać z narzędzi do przywracania systemu. Oczekuje się, że w najbliższych tygodniach Microsoft wyda poprawkę, która rozwiąże konflikt między nowym silnikiem ochrony a mechanizmami skanowania.
Źródło: 3DNews
