Un bypass complet d'un correctif publié il y a un mois
Le 12 août 2026, quelques heures après la publication des mises à jour de sécurité du Patch Tuesday d'août, le chercheur en sécurité connu sous les pseudonymes Nightmare Eclipse, Chaotic Eclipse, INFINITE NIGHTMARE ou encore MSNightmare a rendu public un nouvel exploit zero-day baptisé « ShieldBreak ».
Celui-ci ne vise pas une vulnérabilité inédite, mais constitue un contournement (patch bypass) du correctif que Microsoft avait déployé un mois plus tôt pour la faille RoguePlanet, identifiée sous l'identifiant CVE-2026-50656 (score CVSS : 7,8). Selon le chercheur, « Microsoft n'a pas correctement corrigé la vulnérabilité RoguePlanet » et le PoC en constitue la démonstration éclatante.
Une escalation de privilèges dans le moteur de Defender
La vulnérabilité RoguePlanet, initialement divulguée en juin 2026, réside dans le Microsoft Malware Protection Engine (mpengine.dll), le cœur analytique de Microsoft Defender. Il s'agit d'une condition de course (race condition) qui, une fois exploitée, permet à un attaquant de générer un shell avec les privilèges SYSTEM — le niveau d'accès le plus élevé sous Windows — lui permettant d'exécuter du code arbitraire ou d'effectuer des actions non autorisées.
Microsoft avait classé RoguePlanet comme un problème d'escalade de privilèges et déployé en juillet 2026 ce qu'elle a qualifié de « mises à jour defense-in-depth ». Or, peu après la sortie de ce correctif, Chaotic Eclipse avait signalé que les mises à jour introduites pour traiter la CVE-2026-50656 pouvaient provoquer une fuite de 8 octets de données lorsque Defender tente d'ouvrir un fichier dans certains scénarios sur Windows 11 25H2 et Windows Server 2025. Microsoft avait alors indiqué être « consciente du rapport » et enquêter.
ShieldBreak va plus loin : il s'agit d'un contournement complet du correctif, et non d'un simple effet collatéral.
Un exploit testé avec 100 % de réussite
Le chercheur affirme avoir testé le PoC sur les versions les plus récentes du système d'exploitation de Microsoft, avec des résultats parfaits :
- Windows 11 25H2 (y compris le canal Canary) ;
- Windows Server 2025.
Le taux de réussite est annoncé à 100 %. Le chercheur précise également que Windows 10 et ses éditions Server correspondantes sont vulnérables à ShieldBreak, bien que le PoC actuel ne les prenne pas encore en charge (« not currently supported »).
Une condition essentielle doit toutefois être remplie pour que l'exploit fonctionne : Microsoft Defender doit être activé sur la machine cible. Will Dormann, principal vulnerability analyst chez Tharros, a confirmé le 12 août que l'exploit fonctionne effectivement et a corroboré cette précondition.
Une campagne systématique contre l'écosystème Microsoft
ShieldBreak s'inscrit dans une série impressionnante de divulgations effectuées par Nightmare Eclipse depuis avril 2026. Le chercheur a successivement publié les exploits zero-day suivants, ciblant Microsoft Defender, BitLocker et divers autres composants Windows :
| Nom | Cible | Statut du correctif |
|---|---|---|
| LegacyHive | Windows User Profile Service | Corrigé en août 2026 (CVE-2026-62832) |
| RoguePlanet | Microsoft Malware Protection Engine | Corrigé en juillet 2026 (CVE-2026-50656), bypassé par ShieldBreak |
| BlueHammer | Composant Windows | En attente de correctif |
| RedSun | Composant Windows | En attente de correctif |
| YellowKey | Composant Windows | Corrigé en juin 2026 |
| GreenPlasma | Composant Windows | Corrigé en juin 2026 |
| MiniPlasma | Composant Windows | Corrigé en juin 2026 |
| UnDefend | Microsoft Defender | En attente de correctif |
Cette cadence soutenue illustre la détermination du chercheur à mettre la pression sur Microsoft, mais aussi l'ampleur des failles résiduelles dans les produits de sécurité de l'éditeur.
Un conflit ouvert avec Microsoft
Au-delà de la technique, ShieldBreak est aussi le prolongement d'un conflit ouvert entre Microsoft et Nightmare Eclipse autour des pratiques de divulgation de vulnérabilités et de bug bounty du géant de Redmond. Microsoft a réagi aux divulgations du chercheur par des avertissements de poursuites judiciaires contre les personnes se livrant à une « activité malveillante causant un dommage réel » à ses clients. Plusieurs experts en cybersécurité ont interprété ces déclarations comme une menace directe visant le chercheur, soulevant des questions sur la liberté de la recherche en sécurité et le droit d'alerter sur des failles critiques.
Microsoft n'avait pas répondu aux sollicitations de BleepingComputer et The Hacker News au moment de la publication.
Le contexte du Patch Tuesday d'août 2026
La divulgation de ShieldBreak coïncide avec la sortie du Patch Tuesday d'août 2026, qui corrige un volume important de vulnérabilités. Les sources divergent légèrement sur les chiffres : BleepingComputer fait état d'environ 400 failles dont 3 zero-days, tandis que The Hacker News avance le chiffre de 421 vulnérabilités, dont 236 spécifiquement dans Windows.
Plusieurs correctifs notables ont été déployés :
- CVE-2026-62832 (CVSS 7,8) — escalation de privilèges dans le Windows User Profile Service, divulguée par Chaotic Eclipse sous le nom LegacyHive le mois dernier. Cette faille de type link following permet à un attaquant authentifié de charger la ruche de registre d'un autre utilisateur et d'obtenir les privilèges administrateur.
- CVE-2026-68820 (CVSS 7,0) — faille zero-day activement exploitée dans le Windows Ancillary Function Driver for WinSock, permettant une escalation vers SYSTEM. Le CISA l'a ajoutée à son catalogue KEV (Known Exploited Vulnerabilities), imposant aux agences fédérales américaines d'appliquer le correctif avant le 25 août 2026. Selon Check Point Research, le groupe Lazarus (lié à la Corée du Nord) l'a utilisé dans le cadre de sa campagne Operation Dream Job.
- CVE-2026-72971 (CVSS 5,5) — vulnérabilité de falsification dans le Windows Container Isolation FS Filter Driver (
unionfs.sys), publiquement divulguée.
Ce qu'il faut retenir
ShieldBreak rappelle que corriger une vulnérabilité ne signifie pas l'avoir éliminée. Le fait qu'un correctif defense-in-depth puisse être contourné aussi rapidement — avec un taux de réussite de 100 % sur les versions les plus récentes de Windows — pose la question de la robustesse des mécanismes de protection intégrés à Microsoft Defender, qui est lui-même un produit de sécurité censé protéger les utilisateurs.
Pour les organisations, les recommandations immédiates sont :
- Surveiller les communications de Microsoft concernant un éventuel correctif pour ShieldBreak, qui ne faisait pas partie du Patch Tuesday d'août.
- Maintenir Defender activé, malgré la vulnérabilité — le désactiver supprimerait l'attaque surface de ShieldBreak mais exposerait la machine à de nombreuses autres menaces.
- Renforcer les contrôles d'accès et le principe du moindre privilège, sachant que l'exploit nécessite un accès initial à la machine (escalade locale de privilèges, et non accès à distance).
- Appliquer rapidement les correctifs du Patch Tuesday d'août, notamment CVE-2026-68820 qui est activement exploitée.
L'affaire Nightmare Eclipse vs Microsoft, avec ses huit zero-days publiés en quatre mois et ses menaces juridiques en toile de fond, constitue l'un des épisodes les plus tumultueux de la recherche en sécurité cette année. ShieldBreak en est le dernier chapitre, et probablement pas le dernier.