Un chasseur mécontent du jour 0 « humilié » par Microsoft promet une « chute fracassante » alors que Redmond appelle les flics

La saga en cours de Microsoft contre Nightmare Eclipse (alias Chaotic Eclipse), le chasseur de bugs mécontent avec une profonde compréhension de Windows et une rancune encore plus profonde contre Microsoft, a atteint son paroxysme, le chercheur, qui a jusqu’à présent publié six Windows zero-day, promettant une chute « fracassante » le 14 juillet.

Microsoft, pour sa part, a finalement répondu au chercheur en sécurité et à ses failles Windows militarisées avec un article de blog sur la divulgation (non) coordonnée des vulnérabilités concernant les bogues désormais publics : RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma et MiniPlasma. Redmond affirme qu’aucun de ces événements n’a été signalé via ses canaux officiels avant d’être rendu public.

Les attaquants ont commencé à attaquer trois des six – BlueHammer, RedSun et UnDefend – peu après que Nightmare ait publié un code d’exploitation de preuve de concept fonctionnel pour chacun sur les comptes GitHub (propriété de Microsoft) et GitLab désormais interdits.

YellowKey, GreenPlasma et MiniPlasma n’ont toujours pas de correctifs, et Microsoft a jugé « une exploitation plus probable » pour YellowKey, alias CVE-2026-45585, citant un POC fonctionnel.

« Nous restons fermement opposés à ces actions, ainsi qu’à toute divulgation en dehors d’une coordination appropriée qui pourrait nuire à nos clients et à l’écosystème numérique », a écrit Microsoft dans un blog mercredi, puis a apparemment menacé de poursuites judiciaires contre Nightmare :

« Les divulgations non coordonnées qui mettent le code de validation de vulnérabilités non corrigées entre les mains de mauvais acteurs ne sont jamais justifiables et ont des conséquences réelles. Nos équipes de sécurité dans toute l’entreprise travaillent sans relâche pour traquer les acteurs malveillants qui recherchent des faiblesses comme celles-ci pour attaquer Microsoft et nos clients. Notre unité de criminalité numérique continuera à intenter des poursuites contre ces acteurs et ceux qui permettent leurs activités criminelles – en coordination si nécessaire avec les forces de l’ordre du monde entier. « 

Microsoft n’a pas répondu Le registrenotamment si son équipe juridique envisageait de poursuivre Nightmare en justice, si le chercheur du jour zéro est un employé actuel ou ancien, et si Microsoft a supprimé le compte MSRC de Nightmare, ce qui signifie que le chasseur de bogues ne peut pas divulguer les vulnérabilités au géant de Windows.

Nightmare, dans sa dernière missive anti-Microsoft, affirme que c’est exactement ce que Microsoft a fait.

« Quand je vous ai activement demandé de communiquer avec moi, vous avez refusé, vous m’avez humilié et vous avez pris soin de m’insulter devant les gens », ont-ils écrit samedi. « Vous m’avez diffamé en public avec votre avis CVE-2026-45585 même si vous avez littéralement supprimé le compte Microsoft avec lequel je vous signalais les bugs et que je n’ai reçu aucun centime en le faisant et j’ai quand même volontiers fait comme un idiot. »

Nightmare a également noté que « Microsoft a toujours des chaînes entre mes mains », l’empêchant de publier des « documents » encore ou à tout moment en juin, puis a prévenu : « Notez cette date le 14 juillet, je ferai en sorte que vos os soient brisés ce jour-là. »

Indépendamment de ce qui se passera ou non le 14 juillet, Nightmare a déjà provoqué le chaos – et de réels dégâts au niveau de l’entreprise, comme l’a déclaré l’ingénieur système Muhammad Qasim Shahzad sur LinkedIn.

« Une personne a causé plus de dégâts au niveau de l’entreprise en six semaines que la plupart des groupes APT n’en causent en un an », a écrit Shahzad. « L’écart entre la divulgation et la militarisation se mesure désormais en heures, et non en jours. Votre fenêtre de mise à jour des correctifs diminue rapidement. »

Dustin Childs, chasseur de bogues en chef de Zero Day Initiative, qui a auparavant travaillé environ sept ans pour la sécurité de Microsoft et possède des décennies d’expérience des deux côtés du processus coordonné de divulgation des vulnérabilités (CVD), a déclaré Le registre que Microsoft aurait pu mieux gérer cela. Et il se demandait ce qui s’était passé entre les deux parties pour en arriver là.

« Les maladies cardiovasculaires sont une voie à double sens », a-t-il déclaré. « Le fournisseur a également une certaine responsabilité, donc déclarer publiquement que cette personne a violé le CVD sans montrer aucune correspondance semble audacieux. »

Microsoft pourrait également améliorer ses communications avec ses clients sur « quels sont les risques réels liés à ces bugs et comment ils peuvent se défendre », a ajouté Childs. « Cette direction claire semble faire défaut. »

L’incendie de la benne à ordures de Microsoft

La fondatrice et PDG de Luta Security, Katie Moussouris, qui a été la pionnière du programme de bug bounty de Microsoft malgré les dirigeants s’étant engagés à ne jamais payer les chercheurs pour les bugs, a déclaré que la réponse de Redmond à Nightmare envoie des « messages contradictoires ».

« Il prétend de manière confuse que leur programme ‘garantit que les chercheurs soient rémunérés et reconnus publiquement’ dans une déclaration répondant à un chercheur qui dit n’avoir obtenu ni l’un ni l’autre », a déclaré Moussouris. Le registre. « Les choix linguistiques ne diminuent pas non plus. Microsoft a invoqué le terme obsolète de « divulgation responsable », que j’ai retiré il y a des années chez Microsoft parce qu’il était subjectif et judicieux. »

Cette phrase, a ajouté Moussouris, « a fait obstacle à la coordination » lorsque les deux parties étaient en désaccord sur la meilleure façon de protéger les utilisateurs finaux.

« La mention de la Digital Crimes Unit dans un article traitant de la divulgation de vulnérabilités rend le message vaguement menaçant, ce qui semble intentionnel, mais ils terminent ensuite le message en disant qu’ils accueillent favorablement les rapports quel que soit l’historique de divulgation », a-t-elle déclaré. « Personne, à l’exception des parties impliquées, ne peut savoir avec certitude ce qui s’est passé entre ce chercheur et Microsoft. Quels que soient les faits, il est difficile d’imaginer pourquoi Microsoft n’essaierait pas de désamorcer la situation, ne serait-ce que pour éviter l’effet dissuasif sur les autres chercheurs. »

Le détective de sécurité Kevin Beaumont, dans son blog sur la saga Microsoft-Nightmare Eclipse en cours, l’a qualifié d' »incendie de benne à ordures de la part de (Microsoft) ».

Beaumont a également travaillé chez Microsoft, et il a noté que la société Windows avait déjà embauché un pirate informatique appelé SandboxEscaper après avoir publié des exploits POC zero-day pour les produits Microsoft – quelque chose que le blog de Redmond décrit désormais comme criminel.

« Si la tactique de Microsoft est d’essayer de criminaliser le fait de ne pas suivre des cadres de « divulgation responsable » souvent arbitraires, bonne chance pour défendre cela devant les tribunaux – car il y a toute une histoire de décisions antérieures au sein de Microsoft et de faits qui émergeraient dans ce processus », a déclaré Beaumont.

Soyons clairs : ni Beaumont ni les chercheurs qui Le Reg a parlé pour soutenir les pitreries du jour zéro de Nightmare. Childs a qualifié le message du « 14 juillet » de « troublant » et Moussouris a déclaré que la date et « un langage incendiaire… n’aident pas les organisations qui tentent de donner un sens au risque technique ».

« La dynamique de David et Goliath »

Moussouris a ajouté que cette dernière missive, prise dans le contexte des articles précédents du blog,  » dresse le portrait de quelqu’un qui croit avoir été poussé à cet extrême. C’est le son de quelqu’un qui croit que tous les canaux légitimes lui ont été fermés : compte GitHub supprimé, paiements retenus, crédit supprimé, puis publiquement accusé de violation de CVD après que Microsoft a coupé leur capacité de coordination. Les griefs du chercheur sont sérieux et spécifiques.  »

En fin de compte, « les bugs sont ceux de Microsoft », a déclaré Moussouris. « Ils ont écrit le code et ils assument les risques envers les clients. Souvent, les chercheurs qui ont déjà travaillé avec un fournisseur réagissent de manière extrême seulement lorsqu’ils estiment qu’il n’y a pas d’autre choix. Le pouvoir qu’ils détiennent n’est pas du tout proportionné à celui du fournisseur. Il s’agit d’une dynamique de David et Goliath que nous n’aimons pas voir se jouer, d’autant plus que ce sont les utilisateurs qui perdent lorsque les négociations de coordination échouent. »

Bien qu’il s’agisse d’un exemple très extrême – peut-être le plus extrême – de divulgation coordonnée qui a mal tourné, il ne s’agit pas d’un problème isolé. Les chercheurs se plaignent depuis des années des maladies cardiovasculaires, et plus particulièrement des habitudes de Redmond en matière de divulgation de bogues.

« Bien que certaines entreprises se soient améliorées, ce n’est pas le cas de Microsoft », a déclaré Childs. « Au contraire, ils sont considérés comme difficiles à utiliser, surtout si votre bug est modéré au lieu de critique. Des chercheurs m’ont dit qu’ils avaient complètement arrêté de s’intéresser à Microsoft parce qu’ils étaient trop difficiles à utiliser. »

De plus, ces types de désaccords entre les chercheurs et les programmes de bug bounty vont probablement augmenter, à mesure que les rapports de bugs assistés par l’IA deviendront la norme et que les vulnérabilités monteront en flèche.

« En tant qu’industrie, nous devons reprendre notre souffle, nous rappeler que de vraies personnes sont impliquées et que de mauvaises interactions pourraient entraîner un risque réel pour les clients », a déclaré Childs. « L’impact réel est trop souvent perdu lorsque la divulgation se passe mal. » ®