Quelques heures après un Patch Tuesday chargé, Nightmare Eclipse publie ShieldBreak, un exploit visant Microsoft Defender qui décroche les pleins pouvoirs sur des machines Windows parfaitement à jour. Dixième épisode du feuilleton, toujours sans correctif.
Depuis avril, un chercheur anonyme opérant sous le pseudonyme Nightmare Eclipse transforme le calendrier de sécurité de Microsoft en course-poursuite. Son dernier exploit baptisé ShieldBreak a été mis en ligne le 12 août, quelques heures à peine après le bulletin mensuel de Redmond. Le chercheur Kevin Beaumont en a confirmé le fonctionnement sur un Windows 11 à jour.
Un correctif percé le lendemain de sa sortie
ShieldBreak est une élévation de privilèges locale : l'exploit ne permet pas de pénétrer une machine à distance. Il offre en revanche à un utilisateur déjà présent sur le système (ou à un logiciel malveillant qui y a pris pied) les pleins pouvoirs SYSTEM, le niveau le plus élevé de Windows. La particularité de cette publication tient à sa cible. ShieldBreak vise Microsoft Defender et se présente, selon son auteur, comme un contournement du correctif de la faille CVE-2026-50656 que Microsoft avait livré en juillet. Kevin Beaumont nuance cette filiation, les deux failles reposant sur des mécanismes assez différents, mais le résultat pratique reste identique pour l'utilisateur. L'auteur revendique un exploit fonctionnel sur Windows 11 25H2 et Windows Server 2025, publié quelques heures après le Patch Tuesday d'août et ses 398 failles colmatées, dont ShieldBreak ne fait justement pas partie. Le serrurier avait changé la serrure en juillet ; un mois plus tard, le double de la clé glisse sous la porte.
Une précision s'impose avant de céder à la panique. Le code d'exploitation est public et fonctionnel, mais aucune exploitation en conditions réelles n'a été observée à ce stade : une faille publiée n'est pas une faille massivement utilisée. Kevin Beaumont a d'ailleurs mis en ligne des règles de détection pour permettre aux équipes de sécurité de repérer une éventuelle utilisation de l'exploit. Microsoft, de son côté, n'a pas encore de correctif à proposer, ce qui laisse la fenêtre ouverte pour les acteurs malveillants qui voudraient s'en emparer.
Une guerre d'usure que Microsoft ne gagne pas
Ce timing n'a rien d'un hasard de calendrier, car le chercheur a déjà utilisé la recette. En juillet, LegacyHive avait été publiée une demi-heure à peine après le plus gros Patch Tuesday de l'histoire de Microsoft, maximisant la durée de vie de l'exploit jusqu'au bulletin suivant. La série remonte au mois d'avril avec BlueHammer, s'est poursuivie avec RedSun (exploitée, elle, dans de véritables attaques), puis avec les failles visant BitLocker au printemps. Redmond a répondu sur le terrain judiciaire en agitant sa division anti-cybercrime, une stratégie d'intimidation qui avait fait bondir la communauté sécurité, avant de faire machine arrière en juin. Sans effet visible sur la cadence des publications.
Le rapport de force est asymétrique par nature : Microsoft doit protéger l'intégralité d'un système vieux de quarante ans, quand son adversaire n'a besoin que d'une brèche par mois pour entretenir le récit. En attendant un correctif, les recommandations habituelles gardent tout leur sens, à commencer par l'installation du Patch Tuesday d'août malgré tout (la faille n'y est pas corrigée, mais les 398 du bulletin le sont). S'y ajoutent l'usage d'un compte sans droits administrateur au quotidien et une vigilance renforcée sur les exécutables d'origine douteuse. Les machines sous Windows 10 privées du programme de mises à jour étendues cumulent, elles, les mauvais points.
Un PC à jour n'est donc plus tout à fait un PC protégé ; et si la mécanique des derniers mois se répète, la réponse de Microsoft arrivera juste à temps… pour le prochain exploit.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.