Un chasseur de bugs en colère avec Microsoft Beef abandonne le nouveau Windows 0-day

Ils sont en colère contre Redmond et auront leur revanche. Nightmare Eclipse, le chasseur de bogues prolifique et peut-être un ancien employé mécontent de Microsoft, a révélé une autre vulnérabilité Zero Day quelques heures seulement après que Redmond ait publié un nombre record de CVE et de correctifs pour le Patch Tuesday de juin.

Le dernier zero-day, RoguePlanet, cible Microsoft Defender et fonctionne sur les systèmes Windows 10 et Windows 11 entièrement corrigés, selon le chercheur, qui a également publié un code d’exploitation de preuve de concept pour la faille de sécurité. En supposant que l’attaquant puisse gagner une condition de concurrence critique, ce bug permet une élévation de privilèges locale et conduit à un contrôle au niveau SYSTÈME sur une machine affectée.

Nightmare Eclipse (alias Chaotic Eclipse) est un chasseur de bugs mécontent avec une compréhension approfondie de Windows et une rancune encore plus profonde contre Microsoft. Ils prétendent être un ancien employé et accusent Redmond d’ignorer les rapports de vulnérabilité et de refuser de communiquer avec eux.

« Quand je vous ai activement demandé de communiquer avec moi, vous avez refusé, vous m’avez humilié et vous avez fait en sorte de m’insulter devant les gens », ont-ils écrit dans un précédent article de blog qui promettait également une chute « à couper le souffle » le 14 juillet.

« Vous m’avez diffamé en public avec votre avis CVE-2026-45585 même si vous avez littéralement supprimé le compte Microsoft avec lequel je vous signalais les bugs et que je n’ai reçu aucun centime en le faisant et j’ai toujours fait comme un idiot », poursuit le message.

Peut-être pour exprimer cette colère, et apparemment en réponse au manque d’action de Redmond, Nightmare a commencé à rendre publiques ses conclusions. RoguePlanet marque le septième jour zéro de Microsoft découvert et divulgué – accompagné d’un exploit PoC ou de détails techniques – avant que Redmond ne publie un correctif.

La réponse initiale de Microsoft à ces révélations a été largement interprétée comme une menace de poursuites judiciaires, provoquant l’indignation massive de la communauté de la sécurité informatique au sens large avant que Redmond ne cherche à calmer la réaction en déclarant qu’il n’avait « aucune intention de poursuivre des actions contre les individus menant ou publiant des recherches sur la sécurité ».

Depuis mardi, les six jours zéro précédents comportent tous des correctifs.

Trois d’entre eux, RedSun, UnDefend et BlueHammer, ont été attaqués peu de temps après que Nightmare ait publié un code d’exploitation fonctionnel pour chacun et avant que Microsoft ne publie des mises à jour de sécurité pour corriger les failles. Les trois autres, YellowKey, GreenPlasma et MiniPlasma, ont tous été corrigés depuis le Patch Tuesday de juin.

YellowKey (alias CVE-2026-45585) est un bug de contournement des fonctionnalités de sécurité dans Windows BitLocker. Un attaquant disposant d’un accès physique au système vulnérable pourrait contourner la fonctionnalité de chiffrement de périphérique BitLocker et accéder aux données chiffrées de l’appareil.

GreenPlasma (alias CVE-2026-45586) et MiniPlasma (alias CVE-2020-17103) sont tous deux des failles d’élévation de privilèges dans le Collaborative Translation Framework (CTFMON) et le Cloud Files Mini Filter Driver qui peuvent être exploitées par un attaquant autorisé pour élever les privilèges localement et obtenir l’accès au SYSTÈME.

Interrogé sur RoguePlanet, un porte-parole de Microsoft a déclaré Le registre que le géant Windows est « Conscient de la vulnérabilité signalée et étudie activement la validité et l’applicabilité potentielle de ces allégations. »

Le porte-parole a poursuivi : « Microsoft s’engage à enquêter sur les problèmes de sécurité et à mettre à jour les produits concernés pour protéger les clients le plus rapidement possible. Plus important encore, nous soutenons la divulgation coordonnée des vulnérabilités, une norme industrielle qui protège les clients et soutient la communauté des chercheurs en garantissant que leurs conclusions font l’objet d’une enquête approfondie et sont prises en compte avant d’être rendues publiques.

Peu de temps après que Nightmare ait publié un PoC pour RoguePlanet, l’équipe de renseignement sur les menaces ThreatLocker a validé le code d’exploitation et a déclaré qu’elle « évaluait activement l’impact, les systèmes affectés et les mesures d’atténuation supplémentaires », promettant de partager davantage de résultats « dès qu’ils seront disponibles ».

Will Dormann, analyste principal des vulnérabilités chez Tharros Labs et détective de sécurité respecté de longue date, a déclaré qu’il avait également testé le code d’exploitation. « Ce n’est apparemment pas fiable à 100%, mais cela a fonctionné du premier coup pour moi », a écrit Dormann.

Nightmare, pour sa part, a annulé la promesse d’une baisse « fracassante » le 14 juillet.

« (Mal)heureusement, je ne pourrai pas divulguer en masse les zerodays le 14 juillet, RoguePlanet a pris beaucoup plus de temps que prévu et m’a vraiment épuisé », a déclaré mardi le chercheur. « Je pourrais faire une pause mais je ne peux pas dire avec certitude ce que je ferai le mois prochain, peut-être que ce n’est rien, peut-être que c’est du smtg. Mais le grand chose ne se produit pas. Je n’avais pas l’intention de semer une panique massive avec ce message et je m’en excuse. »®