สรุปสั้น

นักวิจัยด้านความปลอดภัยที่ใช้ชื่อ Chaotic Eclipse ซึ่งเป็นที่รู้จักในชื่อ INFINITE NIGHTMARE, MSNightmare และ Nightmare-Eclipse เผยแพร่โค้ดสาธิตการโจมตีของช่องโหว่ยกระดับสิทธิ์ที่ยังไม่มีแพตช์ในชื่อ FalconFlank ซึ่งกระทบผลิตภัณฑ์ CrowdStrike Falcon โดยนักวิจัยระบุในไฟล์ README บน GitHub ว่า “FalconFlank เป็นช่องโหว่ยกระดับสิทธิ์แบบ 0-day ที่ใช้ประโยชน์จากกลไกลบมาโครอันตรายของ Office ใน CrowdStrike Falcon Sensor”

นักวิจัยระบุว่า PoC ทำงานได้บนเครื่อง Windows 11 25H2 หรือ Windows Server 2025 ที่อัปเดตครบทั้งหมดและติดตั้ง CrowdStrike Falcon อยู่ พร้อมเสริมว่าบริษัทอาจมีการตรวจจับสำหรับช่องโหว่นี้ไปแล้ว จึงเขียนไว้ว่า “ถ้าอยากทดสอบ คุณต้องเพิ่มมันเข้าไปในรายการยกเว้น หรือทำให้ PoC อ่านยากขึ้นและเปลี่ยนเทคนิคการโหลด DLL”

ฝั่ง CrowdStrike ให้ถ้อยแถลงกับ The Hacker News ว่ากำลังตรวจสอบข้อกล่าวอ้างนี้อยู่ และแนะนำให้ลูกค้าปิดการตั้งค่านโยบาย Microsoft Office File Suspicious Macro Removal บนวินโดวส์ไว้ก่อน โดยยืนยันว่าลูกค้ายังได้รับการปกป้องผ่านการตั้งค่า Cloud Anti-malware สำหรับไฟล์ Microsoft Office และให้ดูรายละเอียดเพิ่มเติมได้จาก FalconFlank Tech Alert ในพอร์ทัลสนับสนุนของบริษัท ทั้งนี้ยังไม่มีรหัส CVE สำหรับ FalconFlank และยังไม่มีรายงานว่าถูกนำไปใช้โจมตีจริง

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 3 กันยายน 2569 ว่านักวิจัยที่ใช้ชื่อ Chaotic Eclipse ปล่อย PoC ของ FalconFlank ออกสู่สาธารณะ ซึ่งเป็นรายการล่าสุดในชุดโค้ดสาธิตที่นักวิจัยรายนี้ทยอยเผยแพร่โดยพุ่งเป้าไปที่ผลิตภัณฑ์ความปลอดภัยปลายทางของผู้ผลิตหลายราย

การเผยแพร่ครั้งนี้เกิดขึ้นหลังจากที่นักวิจัยรายเดียวกันปล่อย PoC ของช่องโหว่ยกระดับสิทธิ์อีกตัวหนึ่งซึ่งกระทบผลิตภัณฑ์ป้องกันปลายทางของบริษัท Kaspersky สำหรับวินโดวส์ เวอร์ชัน 14.0.0.504 ไปเพียงไม่กี่วันก่อนหน้า โดยตั้งชื่อรหัสว่า HardBreacher

นักวิจัยยอมรับเองว่า PoC ของ HardBreacher ยังไม่เรียบร้อย โดยเขียนว่า “PoC อยู่ในสภาพที่ไม่ดีเลย มันแทบจะเป็นของที่แปะเทปกาวไว้ ผมแค่ทำให้มันทำงานได้เท่านั้นเอง มันจะรันแล้วล้มเหลวพร้อมข้อความผิดพลาด คุณก็แค่ต้องรันซ้ำไปเรื่อย ๆ ถ้าสำเร็จ มันจะสร้างไฟล์ใน C:\Windows\System32\MY_SNAKE_IS_SOLID.dll พร้อมสิทธิ์เต็มสำหรับผู้ใช้ปัจจุบัน” และอธิบายผลกระทบว่า “ส่วนที่น่าสนใจคือ Kaspersky เสียการควบคุมไปเลยเมื่อคุณเข้าควบคุมโพรเซสของส่วนติดต่อผู้ใช้ คุณทำให้มันหยุดทำงานได้ อนุญาตหรือบล็อกการเข้าถึงไฟล์ที่มันไม่ควรทำได้ ถ้า PoC สำเร็จ ระบบปฏิบัติการทั้งระบบจะกลายเป็นความยุ่งเหยิง” ทั้งนี้ Kaspersky ตอบ The Hacker News ว่าได้แก้ไขปัญหา HardBreacher แล้ว โดยการแก้ไขถูกส่งผ่านการอัปเดตอัตโนมัติ หรือผู้ใช้จะสั่งอัปเดตฐานข้อมูลด้วยตนเองก็ได้

ก่อนหน้านั้นเมื่อเดือนสิงหาคม นักวิจัยรายนี้ยังเผยแพร่ PoC ของช่องโหว่ 0-day ใน Microsoft Defender ที่ตั้งชื่อว่า ShieldBreak หรือ CVE-2026-69414 ซึ่งเปิดทางให้ผู้โจมตีรันโค้ดตามอำเภอใจด้วยสิทธิ์ NT AUTHORITY\SYSTEM และถูกประเมินว่าเป็นการข้ามแพตช์ของ CVE-2026-50656 หรือที่รู้จักในชื่อ RoguePlanet โดยฝั่ง Microsoft ยังไม่ออกการแก้ไข ซึ่งเว็บไซต์นี้เคยรายงานไว้แล้วในโพสต์ 2026/08/075 และการยืนยันรหัส CVE ในโพสต์ 2026/08/102

บริษัท LevelBlue อธิบายลักษณะของ ShieldBreak ไว้ว่า “เช่นเดียวกับรุ่นก่อนหน้า ShieldBreak สำรวจมุมที่ต่างออกไปของระบบปฏิบัติการวินโดวส์ ในขณะที่ RoguePlanet ใช้ Cloud Files API และ TieringEngineService ในทางที่ผิดเพื่อเปลี่ยนทิศทางการเขียนไฟล์ของ Defender ไปยัง System32 และ LegacyHive ใช้การดัดแปลง registry hive แบบออฟไลน์กับเนมสเปซของ NT Object Manager เป็นอาวุธ ส่วน ShieldBreak ผสม Cloud Files การจัดการเนมสเปซของ Object Manager การเรียกใช้ Windows Defender API โดยตรง และการชิงจังหวะเวลาในเส้นทางการลบไฟล์เข้าด้วยกัน” พร้อมสรุปว่า “ผลลัพธ์คือห่วงโซ่การยกระดับสิทธิ์ในเครื่องที่จบในตัวเอง โดยเอนจินทำความสะอาดของ Windows Defender เองถูกเปลี่ยนทิศทางให้เขียนไฟล์ DLL ที่ผู้โจมตีเตรียมไว้ลงใน C:\Windows\System32\phoneinfo.dll แล้วตามด้วยการรันด้วยสิทธิ์ SYSTEM ผ่านงานตามกำหนดเวลาของ Windows Error Reporting ที่ติดมากับระบบ”

วิธีการโจมตี

แกนกลางของช่องโหว่ชุดนี้ไม่ได้อยู่ที่การเจาะเข้าเครื่องจากภายนอก แต่อยู่ที่การใช้ประโยชน์จากสิทธิ์ระดับสูงที่ซอฟต์แวร์ความปลอดภัยต้องมีอยู่แล้วเพื่อทำงานของมันเอง กล่าวคือกลไกลบหรือกักกันไฟล์อันตรายจำเป็นต้องเขียนและลบไฟล์ในตำแหน่งที่ผู้ใช้ทั่วไปแตะไม่ได้ หากผู้โจมตีที่มีสิทธิ์ผู้ใช้ธรรมดาบนเครื่องสามารถหลอกให้กลไกนั้นเขียนหรือลบไฟล์ในตำแหน่งที่ตนเลือก ก็เท่ากับยืมสิทธิ์ของตัวป้องกันมาใช้ยกระดับสิทธิ์ของตัวเอง

ในกรณีของ FalconFlank นักวิจัยระบุว่าเป้าหมายคือกลไกลบมาโครอันตรายของ Microsoft Office ใน Falcon Sensor ซึ่งสอดคล้องกับคำแนะนำของ CrowdStrike ที่ให้ปิดการตั้งค่านโยบาย Microsoft Office File Suspicious Macro Removal ไว้ก่อน เพราะการปิดฟีเจอร์ที่เป็นทางเข้าย่อมตัดเส้นทางการโจมตีลงได้โดยตรง ทั้งนี้รายละเอียดเชิงเทคนิคที่เผยแพร่ต่อสาธารณะยังมีน้อย และข้อมูลเกือบทั้งหมดมาจากคำอธิบายของนักวิจัยเองในไฟล์ README บน GitHub ไม่ใช่จากบทวิเคราะห์ของบุคคลที่สาม

รูปแบบเดียวกันนี้ปรากฏชัดกว่าในกรณีของ ShieldBreak ที่ LevelBlue วิเคราะห์ไว้ ซึ่งอาศัยการเปลี่ยนทิศทางการเขียนไฟล์ของเอนจินทำความสะอาดใน Defender ให้ไปวางไฟล์ DLL ของผู้โจมตีลงใน System32 แล้วจึงได้การรันด้วยสิทธิ์ SYSTEM ผ่านงานตามกำหนดเวลาที่มีอยู่แล้วในระบบ ส่วนกรณี HardBreacher นั้นนักวิจัยระบุว่าจุดเริ่มคือการเข้าควบคุมโพรเซสของส่วนติดต่อผู้ใช้ของผลิตภัณฑ์ แล้วอาศัยตำแหน่งนั้นสั่งอนุญาตหรือปฏิเสธการเข้าถึงไฟล์ในแบบที่ไม่ควรทำได้

นักวิจัยยังระบุเรื่องความน่าเชื่อถือของ PoC เองไว้ตรง ๆ ว่าโค้ดบางตัวทำงานไม่เสถียรและต้องรันซ้ำหลายครั้งจึงจะสำเร็จ ซึ่งเป็นลักษณะปกติของการโจมตีที่อาศัยการชิงจังหวะเวลา และเป็นเหตุผลที่การประเมินความเสี่ยงไม่ควรยึดจากอัตราความสำเร็จของ PoC รุ่นแรก เพราะโค้ดที่ถูกขัดเกลาต่อโดยผู้อื่นมักเสถียรขึ้นมากในเวลาไม่นาน

PoC ชุดอื่นและข้อพิพาทกับผู้ผลิต

หลังการเผยแพร่ นักวิจัยยังปล่อย PoC เพิ่มอีกสองรายการ ได้แก่ GreenSection ซึ่งเป็นบั๊กหน่วยความจำเสียหายของ NVIDIA ที่ทำให้แอปพลิเคชันใดก็ตามที่ใช้ Vulkan หรือ OpenGL ล่มหลังจากรัน PoC และ PrettyPrague ซึ่งเป็นช่องโหว่ยกระดับสิทธิ์ในซอฟต์แวร์แอนตี้ไวรัส Avast ของบริษัท Gen Digital โดยนักวิจัยเขียนถึง PrettyPrague ว่า “PoC จะดัมป์ฐานข้อมูล SAM ด้วยการใช้ประโยชน์จากช่องโหว่ใน Avast Sandbox แล้วเปิดเชลล์สิทธิ์ SYSTEM เต็มรูปแบบ ณ เวลาที่เขียนอยู่นี้ PoC ทำงานได้กับ Avast Antivirus ที่แพตช์ครบบน Windows 11 25H2 ที่แพตช์ครบเช่นกัน” พร้อมระบุว่า “ผมไม่แน่ใจ แต่ผมเชื่อว่าช่องโหว่นี้กระทบผลิตภัณฑ์อื่นของ Gen Digital ด้วย เช่น AVG และ Norton”

โฆษกของ Gen ให้ถ้อยแถลงว่า “Gen เพิ่งได้รับแจ้งเรื่องช่องโหว่ด้านความปลอดภัยที่กระทบผลิตภัณฑ์ส่วนหนึ่งของ Gen รวมถึง Avast Antivirus ซึ่งอาจเปิดทางให้ผู้โจมตียกระดับสิทธิ์ในระบบได้ เราเริ่มกระบวนการรับมือด้านความปลอดภัยทันทีและกำลังพัฒนาแพตช์อยู่ เราให้ความสำคัญกับเรื่องความปลอดภัยทุกกรณีและมุ่งมั่นที่จะแก้ไขปัญหานี้โดยเร็ว”

ประเด็นที่ควรบันทึกไว้อย่างครบทั้งสองด้านคือข้อพิพาทระหว่างนักวิจัยกับ Microsoft โดยหลังการเผยแพร่ ShieldBreak นักวิจัยอ้างว่า Microsoft ยังคงเพิกเฉยและปฏิเสธที่จะสื่อสารด้วย “ในรูปแบบใดก็ตาม” พร้อมระบุว่าบริษัท “พยายามอย่างหนักที่จะวาดภาพให้ผมเป็นอาชญากรวิกลจริตคนหนึ่ง” และเขียนไว้ในโพสต์ลงวันที่ 14 สิงหาคม 2569 ว่า “ผมไม่สามารถแม้แต่จะรายงานบั๊กที่ผมเจอไปยังผู้ผลิตแต่ละรายได้เพราะข้อจำกัดจาก Microsoft ทั้งหมดนี้เป็นสิ่งที่พวกเขาก่อขึ้นเอง และพวกเขาไม่แม้แต่จะสนใจตรวจสอบเคสของผมเพื่อดูว่ามีอะไรผิดพลาด” พร้อมประกาศว่า “คิดว่าผมจะเริ่มเผยแพร่บั๊กของบุคคลที่สามในช่วงที่ Patch Tuesday ยังไม่ออก ผมแค่อยากใช้ชีวิตเหมือนมนุษย์ปกติสักครั้งในชีวิต มันมากเกินไปหรือเปล่า” ทั้งนี้ข้อกล่าวอ้างในส่วนนี้มาจากฝั่งนักวิจัยเพียงด้านเดียว และรายงานที่มีอยู่ยังไม่ปรากฏการตอบกลับของ Microsoft ต่อข้อกล่าวอ้างดังกล่าว

รายละเอียด GreenSection และการตอบสนองของผู้ผลิตรอบล่าสุด

เว็บไซต์ SecurityWeek และ Security Affairs รายงานเพิ่มเติมเมื่อวันที่ 7 กันยายน 2569 ถึงรายละเอียดเชิงเทคนิคของ GreenSection และท่าทีล่าสุดของผู้ผลิตแต่ละราย โดยนักวิจัยรายนี้เป็นที่รู้จักในหลายชื่อ ทั้ง Chaotic Eclipse, Nightmare Eclipse, Infinite Nightmare และ MSNightmare

สำหรับ GreenSection นักวิจัยอธิบายว่าคอมโพเนนต์ในโหมดผู้ใช้ของ NVIDIA หลายตัวใช้ส่วนหน่วยความจำร่วมกันที่ \BaseNamedObjects{52813408-3561-4705-820a-2b3b78be92ba} ซึ่งเปิดสิทธิ์อ่านและเขียนเต็มรูปแบบให้กับทุกคน ส่วนนี้เก็บโครงสร้างข้อมูลสำคัญไว้ภายใน และแม้จะมีการตรวจสอบระหว่างการทำงานเพื่อกันไม่ให้เกิดปัญหา แต่ข้อมูลชุดเดิมจากส่วนหน่วยความจำนั้นกลับถูกนำมาใช้ซ้ำในขณะทำงาน จนทำให้เกิดการเขียนหน่วยความจำนอกขอบเขต นักวิจัยระบุว่า “แม้บั๊กนี้จะไม่ได้ให้สิทธิ์ SYSTEM ในทันที แต่สามารถใช้ข้ามขอบเขตระหว่างผู้ใช้ได้อย่างง่ายดาย หรือกระทั่งเข้าควบคุมโพรเซส dwm.exe ได้ ผมไม่ได้ลงลึกกับมันมากนัก แต่ผมยินดีถ้าจะเห็นใครสักคนพัฒนามันขึ้นเป็นชุดโจมตีที่สมบูรณ์” ส่วนวิธีสาธิตนั้นเรียบง่ายมาก คือเปิดแอปพลิเคชันที่ใช้ Vulkan หรือ OpenGL แล้วรัน PoC กด Enter จากนั้นจะเห็นแอปพลิเคชันล่ม

ในฝั่งผู้ผลิต โฆษกของ NVIDIA ให้ถ้อยแถลงเป็นครั้งแรกว่า “เราทราบถึงรายงานที่อธิบายชุดโค้ดสาธิตซึ่งแสดงให้เห็นการควบคุมการเข้าถึงที่ไม่เหมาะสมบนส่วนหน่วยความจำร่วมที่ถูกใช้โดยคอมโพเนนต์บางส่วนของไดรเวอร์แสดงผล GPU ของ NVIDIA บน Windows ขณะนี้ NVIDIA กำลังทบทวนพฤติกรรมที่ถูกรายงานผ่านกระบวนการด้านความปลอดภัยและวิศวกรรมผลิตภัณฑ์ที่มีอยู่ NVIDIA ให้ความสำคัญกับรายงานลักษณะนี้และกำลังตรวจสอบอย่างจริงจังเพื่อหาสาเหตุที่แท้จริง การตั้งค่าที่ได้รับผลกระทบ และแนวทางแก้ไขที่เหมาะสม”

ด้านบริษัท Gen Digital ปรับถ้อยแถลงจากเดิมที่ระบุว่ากำลังพัฒนาแพตช์ มาเป็นการยืนยันว่าแก้ไขเสร็จแล้ว โดยโฆษกระบุว่า “เราเริ่มกระบวนการรับมือด้านความปลอดภัยทันทีและได้แก้ไขปัญหาแล้ว เราให้ความสำคัญกับเรื่องความปลอดภัยทุกกรณี และขอแนะนำให้ผู้ใช้อัปเดตผลิตภัณฑ์อยู่เสมอเพื่อให้ได้รับการป้องกัน” ขณะที่ฝั่ง Kaspersky ปิดช่องโหว่ HardBreacher ไปแล้วเมื่อวันที่ 31 สิงหาคม 2569 ส่วน CrowdStrike ยังคงยืนยันว่ากำลังตรวจสอบข้อกล่าวอ้าง และแนะให้ลูกค้าปิดนโยบายลบมาโครอันตรายของ Office ไว้ก่อน โดยชี้ไปยัง FalconFlank Tech Alert ในพอร์ทัลสนับสนุนของบริษัท

จุดที่เพิ่มน้ำหนักให้กับชุด PoC เหล่านี้คือการยืนยันจากบุคคลที่สาม โดยนักวิจัยด้านความปลอดภัย Kevin Beaumont ระบุเมื่อปลายสัปดาห์ก่อนว่าชุดโจมตีของ Avast, CrowdStrike และ Kaspersky ใช้งานได้จริง ซึ่งเป็นการยืนยันจากภายนอกที่ครอบคลุมทั้งสามตัว หลังจากก่อนหน้านี้ข้อมูลเกือบทั้งหมดมาจากคำอธิบายของนักวิจัยเจ้าของ PoC เอง ทั้งนี้ยังไม่มีการยืนยันในลักษณะเดียวกันสำหรับ GreenSection ซึ่ง NVIDIA ยังอยู่ระหว่างตรวจสอบและยังไม่ได้ยืนยันว่ามีช่องโหว่จริง

ผลกระทบ

ผู้ที่ได้รับผลกระทบโดยตรงคือองค์กรที่ใช้ CrowdStrike Falcon เป็นระบบป้องกันปลายทางและเปิดนโยบายลบมาโครอันตรายของ Office ไว้ ซึ่งเป็นการตั้งค่าที่หลายองค์กรเปิดใช้เพราะมาโครในเอกสารเป็นทางเข้าที่พบบ่อย ความย้อนแย้งของสถานการณ์นี้จึงอยู่ที่คำแนะนำชั่วคราวของผู้ผลิตคือให้ปิดฟีเจอร์ป้องกันตัวหนึ่งเพื่อลดความเสี่ยงจากช่องโหว่ในฟีเจอร์นั้นเอง ทีมความปลอดภัยจึงต้องชั่งน้ำหนักระหว่างความเสี่ยงจากมาโครที่กลับมาไม่ถูกลบอัตโนมัติ กับความเสี่ยงจากการยกระดับสิทธิ์ในเครื่อง

ในแง่ระดับความรุนแรง ช่องโหว่ประเภทนี้ต้องการให้ผู้โจมตีมีสิทธิ์ระดับผู้ใช้บนเครื่องอยู่ก่อนแล้ว จึงไม่ใช่ทางเข้าแรกจากอินเทอร์เน็ต แต่คุณค่าของมันอยู่ที่ขั้นถัดไปของการโจมตี เพราะการได้สิทธิ์ SYSTEM บนเครื่องปลายทางเปิดทางให้ปิดหรือรบกวนตัวป้องกัน ดึงข้อมูลยืนยันตัวตนจากหน่วยความจำ และเคลื่อนย้ายไปยังเครื่องอื่นในโดเมนได้ โดยเฉพาะเมื่อเป้าหมายคือซอฟต์แวร์ที่ติดตั้งอยู่บนเครื่องแทบทุกเครื่องในองค์กรอยู่แล้ว

สิ่งที่ควรจับตาในเชิงรูปแบบคือชุด PoC ทั้งหมดนี้เล่นกับกลไกเดียวกัน นั่นคือเส้นทางการลบหรือทำความสะอาดไฟล์ของผลิตภัณฑ์ความปลอดภัยเอง ไม่ว่าจะเป็น Defender, Falcon, Kaspersky หรือ Avast ซึ่งหมายความว่าองค์กรที่เปลี่ยนไปใช้ผู้ผลิตรายอื่นเพื่อหนีปัญหาอาจไม่ได้ลดความเสี่ยงลงจริง เพราะรากของปัญหาอยู่ที่สถาปัตยกรรมร่วมกันของซอฟต์แวร์ประเภทนี้ ที่ต้องรันด้วยสิทธิ์สูงและต้องแตะไฟล์ที่ผู้ใช้ควบคุมได้

อีกจุดที่ต้องระบุคือข้อจำกัดของข้อมูล เพราะ FalconFlank ยังไม่มีรหัส CVE ยังไม่มีคะแนนความรุนแรง ยังไม่มีบทวิเคราะห์จากบุคคลที่สาม และ CrowdStrike ระบุเพียงว่ากำลังตรวจสอบ ยังไม่ได้ยืนยันว่ามีช่องโหว่จริงตามที่กล่าวอ้าง การประเมินความเสี่ยงในองค์กรจึงควรตั้งอยู่บนคำแนะนำเชิงบรรเทาของผู้ผลิตและการเฝ้าระวัง มากกว่าการสรุปความรุนแรงจากคำอธิบายใน README เพียงอย่างเดียว

คำแนะนำ

องค์กรที่ใช้ CrowdStrike Falcon ควรอ่าน FalconFlank Tech Alert ในพอร์ทัลสนับสนุนของบริษัทก่อนตัดสินใจ แล้วพิจารณาปิดการตั้งค่านโยบาย Microsoft Office File Suspicious Macro Removal ตามคำแนะนำชั่วคราวของผู้ผลิต โดยยืนยันว่าการตั้งค่า Cloud Anti-malware สำหรับไฟล์ Microsoft Office ยังเปิดใช้งานอยู่

หากเลือกปิดนโยบายดังกล่าว ควรชดเชยด้วยมาตรการฝั่ง Office โดยตรง เช่น การบล็อกมาโครในไฟล์ที่มาจากอินเทอร์เน็ตผ่าน Group Policy และการจำกัดสิทธิ์การเปิดใช้มาโครให้เฉพาะผู้ใช้ที่จำเป็นจริง ๆ เพื่อไม่ให้ช่องว่างที่เกิดจากการปิดฟีเจอร์กลายเป็นทางเข้าใหม่

ผู้ใช้ผลิตภัณฑ์ของ Kaspersky ควรตรวจสอบว่าฐานข้อมูลได้รับการอัปเดตแล้ว เพราะบริษัทระบุว่าการแก้ไข HardBreacher ถูกส่งผ่านการอัปเดตอัตโนมัติ หรือสั่งอัปเดตด้วยตนเองได้ ส่วนผู้ใช้ผลิตภัณฑ์ของ Gen Digital ทั้ง Avast, AVG และ Norton ควรอัปเดตผลิตภัณฑ์เป็นเวอร์ชันล่าสุด เนื่องจากบริษัทยืนยันในภายหลังว่าได้แก้ไขปัญหาเรียบร้อยแล้ว

สำหรับ GreenSection ที่ NVIDIA ยังอยู่ระหว่างตรวจสอบและยังไม่มีแพตช์ ให้ติดตามประกาศด้านความปลอดภัยของ NVIDIA และในระหว่างนี้ควรถือว่าเครื่องที่ผู้ใช้หลายคนใช้ร่วมกันหรือเครื่องที่รันเซสชันหลายผู้ใช้พร้อมกันมีความเสี่ยงสูงกว่าเครื่องส่วนตัว เพราะผลของบั๊กคือการข้ามขอบเขตระหว่างผู้ใช้

สำหรับ ShieldBreak ที่ยังไม่มีแพตช์จาก Microsoft ให้ใช้แนวทางตรวจจับที่ Qualys และ LevelBlue เผยแพร่ไว้ โดยเน้นเฝ้าระวังการเขียนไฟล์ DLL ลงใน System32 ที่มีต้นทางจากโพรเซสของ Defender และการเรียกใช้งานงานตามกำหนดเวลาของ Windows Error Reporting ที่ผิดปกติ

ในภาพรวม ควรเฝ้าระวังพฤติกรรมที่เป็นแกนร่วมของช่องโหว่ชุดนี้ ได้แก่ การสร้าง junction หรือ symbolic link ที่ชี้เข้าไปยังไดเรกทอรีระบบ การเขียนไฟล์ลงใน System32 จากโพรเซสของผลิตภัณฑ์ความปลอดภัย และการเปลี่ยนแปลงสิทธิ์บนไฟล์ระบบโดยบัญชีผู้ใช้ธรรมดา ซึ่งเป็นตัวบ่งชี้ที่ใช้ได้ข้ามผู้ผลิต

แหล่งอ้างอิง