Nous vous en parlions récemment : avec ses mises à jour de sécurité du Patch Tuesday de septembre 2026, la firme de Redmond a corrigé près de 1000 failles de sécurité identifiées dans le code de Windows à l’aide de l’IA générative. Il s’agit tout simplement d’un record de correction pour l’entreprise, mais les failles ont-elles toutes été bien corrigées ? Selon un chercheur en cybersécurité anonyme répondant au pseudonyme de Nightmare Eclipse, la réponse est non. En effet, ce dernier a détecté une nouvelle faille zero-day, dans Defender, nommée ShieldCrash.
Un chercheur en cybersécurité détecte une faille, censée pourtant avoir été corrigée
Pour le chercheur en cybersécurité Nightmare Eclipse, le constat est sans appel : « Microsoft n’a pas correctement corrigé la faille ShieldBreak CVE-2026-69414 ». La faille ShieldBreak dans Defender, qui était censée avoir été corrigée par Microsoft, constitue toujours un danger. Nightmare Eclipse explique qu’il est question d’une escalade complète de privilèges, « pas seulement d’une lecture arbitraire de fichier ». Pour être plus précis, cette faille peut permettre aux attaquants d’obtenir des privilèges système sur des appareils équipés de Windows 10, Windows 11 et Windows Server entièrement patchés, sans toutefois leur donner des accès en écriture aux systèmes compromis.
Le chercheur en cybersécurité explique : « Dans certaines conditions, il est toujours possible de reproduire exactement le même problème causé par ShieldBreak. Bien que Microsoft ait corrigé plusieurs éléments pour empêcher la réexploitation de cette faille, une vulnérabilité subsiste ».
La tension monte entre le chercheur en cybersécurité et Microsoft
En mai dernier, Microsoft a publié un message d’avertissement à l’adresse des chercheurs en cybersécurité qui détectent des failles sans prévenir l’entreprise au préalable. La firme de Redmond a ainsi déclaré : « Les détails de ces vulnérabilités n’ont pas été communiqués à Microsoft avant leur divulgation, et ces révélations exposent nos clients à des risques inutiles ». Elle a précisé ensuite : « Les signalements non coordonnés qui mettent le code de démonstration de vulnérabilités non corrigées entre les mains de personnes malveillantes sont injustifiables et ont des conséquences bien réelles ».
Un mois plus tard, en juin 2026, Microsoft a haussé le ton : « Lorsqu’un individu enfreint la loi et s’engage dans des activités malveillantes causant un préjudice réel à nos clients, nous collaborerons avec les forces de l’ordre de manière appropriée ». Ces messages d’avertissement sont en partie liés aux investigations du chercheur en cybersécurité Nightmare Eclipse. Ce dernier avait notamment détecté la vulnérabilité YellowKey en mai dernier. Il affirme par ailleurs que Microsoft a supprimé son compte Microsoft Security Response Center (MSRC) qu’il utilisait pour signaler des vulnérabilités. Pas sûr que la révélation de cette nouvelle faille zero-day dans Defender par Nightmare Eclipse apaise les tensions entre Microsoft et le chercheur en cybersécurité.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
Source : Nightmare Eclipse
