Nightmare‑Eclipse a encore frappé. Quelques heures après la publication du Patch Tuesday d’août 2026 de Windows, le chercheur a mis en ligne une nouvelle faille zero day dans le code de Microsoft Defender, l’antivirus par défaut des ordinateurs Windows. Intitulée ShieldBreak, la faille repose sur le contournement d’un correctif de sécurité déployé le mois dernier par Microsoft.
À lire aussi : Cette faille met Windows en danger depuis six ans, et Microsoft ne l’a toujours pas corrigée
Une défaillance récalcitrante dans Microsoft Defender
En juillet, l’éditeur avait en effet déployé une mise à jour pour colmater une autre faille identifiée par Nightmare‑Eclipse, RoguePlanet. Cette vulnérabilité consistait à retourner l’antivirus de Microsoft contre lui-même afin de lui faire exécuter du code malveillant. Avec ShieldBreak, le chercheur démontre qu’il est possible de contourner la solution déployée par Microsoft. Comme toujours, le chercheur, également connu sous les noms de Chaotic Eclipse, INFINITE NIGHTMARE ou MSNightmare, a publié une méthode d’exploitation complète de la vulnérabilité sur Github, sans laisser le temps à Microsoft de réagir.
Selon l’individu à l’origine de la découverte, ce correctif ne colmatait qu’une seule méthode d’accès vers le code vulnérable, sans traiter en profondeur la logique de la défaillance. Il est donc possible d’exploiter la vulnérabilité d’une autre manière, et c’est exactement ce que prouve la tactique d’exploitation ShieldBreak. La méthode d’exploitation s’appuie sur une étape bien précise du fonctionnement Windows Defender, celle où l’antivirus télécharge des informations complémentaires depuis les serveurs de Microsoft. Lors de cette phase, ShieldBreak va glisser un fichier malveillant… juste là où le correctif de RoguePlanet n’a pas fermé toutes les failles. ShieldBreak est présenté comme un « contournement complet » du correctif RoguePlanet. Le chercheur indique que sa nouvelle tactique fonctionne à tous les coups sur Windows 11 25H2 et sur Windows Server 2025.
Concrètement, ShieldBreak prend la forme application Windows que la victime doit exécuter. Une fois exécutée sur l’ordinateur, l’application va se frayer un chemin jusqu’à la zone défaillante de Microsoft Defender. Des experts indépendants, comme le chercheur Will Dormann, ont pu confirmer la viabilité de la méthode d’exploitation. L’attaque nécessite uniquement que Windows Defender soit bien activé sur la machine ciblée.
Neuf failles zero day en quelques mois
ShieldBreak s’inscrit dans la longue liste des failles Windows critiques débusquées par Nightmare‑Eclipse. Depuis le début de l’année, l’expert, en conflit ouvert avec Microsoft, a publié coup sur coup BlueHammer, RedSun, UnDefend, GreenPlasma, YellowKey, MiniPlasma, RoguePlanet, et GreatXML, soit huit vulnérabilités zero day. ShieldBreak est la neuvième faille zero day dénichée par le chercheur en quelques mois.
Lors de chacune de ses découvertes, le chercheur ne prend pas la peine d’alerter Microsoft et de laisser le temps à l’éditeur de travailler sur une solution. Il accuse l’éditeur de mal gérer ses rapports de failles et de ne pas prendre au sérieux la communauté. Il s’est ainsi mis à divulguer directement en ligne les détails des vulnérabilités, sans passer par les canaux classiques de divulgation. Certaines des failles débusquées par Nightmare‑Eclipse ont été promptement exploitées par des cybercriminels, dont des pirates nord-coréens. Plusieurs plateformes ont alors décidé de bannir les comptes du chercheur, de plus en plus controversé. C’est le cas de GitHub et GitLab.
Microsoft mène l’enquête
Sans grande surprise, les pratiques de Nightmare‑Eclipse ont commencé à agacer Microsoft. En mai, Microsoft a publié un billet particulièrement à l’encontre des chercheurs qui divulguent des failles sans respecter ses politiques internes. Microsoft a souligné que « ces révélations exposent nos clients à des risques inutiles ». L’éditeur se réservait le droit de traîner en justice tous les chercheurs qui contreviennent à des directives en matière de divulgation. La firme précise que « son unité de lutte contre la cybercriminalité continuera d’engager des poursuites contre les pirates » et « ceux qui facilitent leurs activités criminelles ». La menace a été jugée particulièrement agressive par la communauté cyber, à tel point que Microsoft a tenté de calmer le jeu par la suite par le biais d’un communiqué sur son compte X.
Over the past several days, we have been listening to the conversation around coordinated disclosure and the relationship between security researchers and vendors. We recognize that this relationship is both critical and, at times, fragile. We deeply value the security community,…
— Microsoft Security Response Center (@msftsecresponse) June 1, 2026
Interrogé par TechCrunch, un porte‑parole de Microsoft indique que la firme « est consciente de la vulnérabilité signalée et enquête activement sur la validité et l’applicabilité de ces affirmations ». Le géant américain s’engage à proposer un nouveau correctif de Defender dans les plus brefs délais. Pour les utilisateurs et les entreprises, le risque concret de ShieldBreak est celui d’une élévation de privilèges locale. En clair, un attaquant qui a déjà réussi à exécuter un programme sur la machine peut s’en servir pour obtenir les droits les plus élevés et prendre la main sur le système.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
