Le pirate informatique Microsoft-Vendetta a un nouveau jour zéro qui donne des privilèges système sur Windows entièrement corrigé

Nightmare Eclipse, le chasseur de zero-day en série qui a un intérêt à travailler avec Microsoft, a publié un nouveau Defender zero-day, ShieldBreak, qui contourne apparemment le correctif RoguePlanet de Redmond (CVE-2026-50656), permettant aux attaquants d’obtenir des privilèges SYSTÈME sur des systèmes Windows 10, Windows 11 et Windows Server entièrement corrigés.

Selon au moins un autre chercheur, l’exploit fonctionne. « Je l’ai essayé, il fonctionne sur le dernier Windows 11 », a déclaré Kevin Beaumont, ancien employé de Microsoft et expert en sécurité. Beaumont a également publié trois détections et requêtes de chasse pour ShieldBreak afin d’aider les défenseurs à trouver rapidement toute menace furtive. Ainsi, jusqu’à ce que Microsoft corrige ce dernier zero-day, nous vous suggérons fortement d’utiliser ces requêtes.

ShieldBreak est le 10ème jour zéro de Nightmare Eclipse depuis le début de leur stratégie de la terre brûlée contre Microsoft début avril. Le prolifique chercheur de bogues et développeur d’exploits est soupçonné d’être un ancien employé très mécontent de Microsoft. Et de manière typique, cette dernière baisse du jour zéro s’est produite quelques heures seulement après le Patch Tuesday mensuel de Redmond qui a résolu 421 problèmes de sécurité dans ses produits – mais ShieldBreak n’en fait pas partie.

Il s’agit d’un exploit local d’élévation de privilèges qui, selon Nightmare, permet aux attaquants d’obtenir des privilèges au niveau du SYSTÈME.

« Le PoC a été testé dans la dernière version de Windows 11 25h2 (+ Canary Channel) et Windows Server 2025, le PoC a également un taux de réussite de 100 %. Veuillez noter que Windows 10 (et les éditions de serveur respectives) ne sont actuellement pas pris en charge, ils sont cependant également vulnérables à ShieldBreak », ont-ils déclaré.

Alors que Nightmare affirme que le nouvel exploit est un contournement de correctifs pour la vulnérabilité RoguePlanet précédente, CVE-2026-50656, que Microsoft a discrètement corrigée en juillet, Beaumont a souligné que les deux failles fonctionnent très différemment.

« RoguePlanet était une vulnérabilité de condition de concurrence critique du système de fichiers qui utilise des disques virtuels et la manipulation de fichiers natifs NT pour tromper le processus de quarantaine et écraser les fichiers système », a-t-il publié. « Hook de rappel en mode utilisateur ShieldBreak pour modifier le contenu du fichier lors d’une analyse d’hydratation du cloud Defender via cfapi (API Cloud Filter). »

Un porte-parole de Microsoft nous a déclaré que la société « était au courant de la vulnérabilité signalée et étudiait activement la validité et l’applicabilité potentielle de ces allégations ».

Le porte-parole a ajouté : « Microsoft s’engage à enquêter sur les problèmes de sécurité et à mettre à jour les produits concernés pour protéger les clients dès que possible. Surtout, nous soutenons la divulgation coordonnée des vulnérabilités, une norme industrielle qui protège les clients et soutient la communauté des chercheurs en garantissant que leurs conclusions font l’objet d’une enquête approfondie et sont prises en compte avant d’être rendues publiques. »

Ce dernier jour zéro survient un mois après que Nightmare Eclipse a publié sa précédente vulnérabilité ainsi qu’un code d’exploitation partiel. La version de juillet de Nightmare, appelée LegacyHive, est une faille d’élévation de privilèges locale qui cible les ruches d’utilisateurs Windows – la section du registre Windows qui stocke les paramètres de bureau, les préférences d’application et les configurations d’environnement spécifiques d’un utilisateur. Il est corrigé avec CVE-2026-62832.

Il existe également un jour zéro de juin appelé GreatXML développé par Nightmare. Le chercheur affirme que la faille permet à un attaquant local disposant de droits d’administrateur de contourner le cryptage BitLocker en manipulant l’environnement de récupération Windows. Mais il a été corrigé avec CVE-2026-50661.

Les sept bogues Windows précédents du prolifique chasseur de jour zéro comportent des correctifs. Il s’agit notamment de BlueHammer (CVE-2026-33825), RedSun (CVE-2026-41091), UnDefend (CVE-2026-45498), YellowKey (CVE-2026-45585), GreenPlasma (CVE-2026-45586), MiniPlasma (CVE-2020-17103) et RoguePlanet. (CVE-2026-50656).

Après avoir menacé de poursuites judiciaires contre Nightmare Eclipse en mai, puis face à une réaction rapide de la part de presque tous les autres chercheurs en sécurité de la planète, Microsoft est revenu sur son discours visant à confier son unité de lutte contre les crimes numériques aux personnes qui ne respectent pas ses règles de divulgation des vulnérabilités.

Correction: Il existe des correctifs pour GreatXML et Legacy Hive.