Microsoft confirme travailler sur un correctif pour la faille zero-day de Defender

Microsoft ↘ 0.24% a officiellement reconnu une vulnérabilité d'élévation de privilèges dans le moteur de protection contre les logiciels malveillants de Microsoft, désormais suivie sous le nom de CVE-2026-50656 avec un score CVSS de 7,8, et a déclaré qu'il développait une mise à jour de sécurité pour corriger cette faille. La vulnérabilité, appelée publiquement "RoguePlanet", a été publiée le 16 juin dans l'avis de Microsoft sans calendrier de correction.helpnetsecurity+2

La vulnérabilité

RoguePlanet exploite une condition de concurrence de type Time-of-Check to Time-of-Use dans le moteur d'analyse en temps réel de Microsoft Defender pour accorder aux attaquants des privilèges de niveau SYSTEM sur des machines Windows 10 et Windows 11 entièrement mises à jour. La faille est classée sous CWE-59 (Résolution de lien incorrecte avant l'accès au fichier) et peut être exploitée dans des attaques de faible complexité par des attaquants locaux authentifiés sans aucune interaction de l'utilisateur requise.cybelangel+2

La preuve de concept a été publiée le 10 juin 2026 par un chercheur opérant sous les pseudonymes Nightmare Eclipse et Chaotic Eclipse, quelques heures après que Microsoft a déployé sa plus grande mise à jour du Patch Tuesday, corrigeant plus de 200 vulnérabilités. La société de sécurité ThreatLocker a confirmé indépendamment que l'exploit fonctionne sur les systèmes équipés de la mise à jour cumulative de juin 2026. Microsoft a classé la vulnérabilité comme "Exploitation plus probable" selon son indice d'exploitabilité, mais n'a pas détecté d'exploitation dans la nature.helpnetsecurity+3

Une campagne contre Microsoft

RoguePlanet est le huitième exploit publié par Nightmare Eclipse depuis début avril 2026 dans ce que les chercheurs décrivent comme une campagne de représailles contre Microsoft. Le chercheur a délibérément programmé chaque divulgation pour les jours suivant le Patch Tuesday, garantissant qu'aucun correctif ne soit disponible pendant des semaines. Trois exploits précédents de la série — BlueHammer, RedSun et UnDefend — ont été confirmés comme ayant été exploités dans la nature avant que Microsoft ne publie des correctifs. La société de sécurité Huntress a observé des outils de Nightmare Eclipse utilisés lors d'une intrusion en direct dès avril.fortifiedhealthsecurity+2

Atténuations en attendant

En l'absence de correctif, il est conseillé aux organisations de restreindre le montage de fichiers VHD et VHDX par les utilisateurs standard via la stratégie de groupe, ce qui supprime le mécanisme de livraison principal sur lequel repose la preuve de concept actuelle. Microsoft recommande également d'activer les règles de réduction de la surface d'attaque dans Defender pour ajouter des obstacles aux étapes courantes de post-exploitation. ThreatLocker a conseillé d'appliquer des politiques de liste blanche d'applications qui bloquent les exécutables non signés provenant d'emplacements accessibles en écriture par l'utilisateur.threatlocker+1

Microsoft a seulement déclaré qu'il "travaillait à fournir une mise à jour de sécurité de haute qualité" et qu'il mettrait à jour l'entrée CVE lorsque le correctif sera disponible.opencve+1