Une nouvelle faille zero-day contourne le correctif de Microsoft Defender sous Windows

Un chercheur en sécurité opérant sous le pseudonyme de Nightmare Eclipse a publié un exploit de preuve de concept (PoC) baptisé ShieldBreak, qui contourne le récent correctif de Microsoft ↘ 2.21% pour une vulnérabilité d'élévation de privilèges dans Windows Defender, permettant à nouveau à des attaquants d'obtenir un accès de niveau SYSTEM sur des machines entièrement mises à jour.

Un correctif inefficace

ShieldBreak cible la faille CVE-2026-50656, une situation de compétition (race condition) dans le moteur de protection contre les logiciels malveillants de Microsoft (mpengine.dll), initialement divulguée par le chercheur en juin 2026 sous le nom de RoguePlanet. Microsoft a corrigé cette faille en juillet, mais Nightmare Eclipse affirme que le correctif est incomplet.thehackernews+1

"Microsoft n'a pas réussi à corriger correctement la vulnérabilité RoguePlanet", a écrit le chercheur, ajoutant que l'exploit affiche un "taux de réussite de 100 %" sur les dernières versions de Windows 11 25H2, le canal Canary et Windows Server 2025. Les systèmes Windows 10 seraient également vulnérables, bien que le PoC ne les prenne pas encore en charge.bleepingcomputer+1

Will Dormann, analyste principal des vulnérabilités chez Tharros, a confirmé mardi que l'exploit fonctionne, précisant que Microsoft Defender doit être activé pour que ShieldBreak puisse élever les privilèges.bleepingcomputer

Un conflit qui s'envenime

Cette publication s'inscrit dans le cadre d'une confrontation de plusieurs mois entre Nightmare Eclipse et Microsoft au sujet de la divulgation des vulnérabilités et des programmes de récompenses pour la découverte de bugs (bug bounty). Depuis avril 2026, le chercheur a publié publiquement des exploits ciblant Defender, BitLocker et d'autres composants de Windows, notamment BlueHammer, RedSun, YellowKey, GreenPlasma et UnDefend. Plusieurs exploits issus de cette campagne ont été observés lors d'intrusions réelles.barracuda+2

Microsoft a réagi à ces divulgations en menaçant de poursuites judiciaires les personnes se livrant à des "activités malicieuses causant un préjudice réel" à ses clients, ce que les experts en cybersécurité ont interprété comme une menace directe envers le chercheur.bleepingcomputer

Le contexte du Patch Tuesday

La sortie de ShieldBreak a coïncidé avec le Patch Tuesday d'août 2026 de Microsoft, qui a corrigé 421 failles de sécurité, dont une faille zero-day activement exploitée dans le pilote de fonction auxiliaire de Windows pour WinSock (CVE-2026-68820), qui permet également d'obtenir des privilèges SYSTEM. Cette vulnérabilité a été ajoutée au catalogue des vulnérabilités exploitées connues de la CISA, avec une date limite de correction fixée au 25 août 2026.thehackernews

Microsoft a également corrigé LegacyHive (CVE-2026-62832), une autre faille d'élévation de privilèges précédemment divulguée par Nightmare Eclipse. Microsoft a déclaré à The Hacker News être au courant du rapport concernant ShieldBreak et être en train d'enquêter.thehackernews