Un chercheur défie Microsoft et publie l'exploit zero-day ShieldBreak

Un chercheur en sécurité a publié les détails d'une nouvelle vulnérabilité Windows permettant à des attaquants d'obtenir un accès complet au système, malgré les menaces de poursuites judiciaires de Microsoft quelques semaines plus tôt pour des divulgations similaires. Le bug, baptisé ShieldBreak, a été publié par le chercheur Nightmare Eclipse le 12 août 2026, un jour après les correctifs mensuels de sécurité de Microsoft (Patch Tuesday).

ShieldBreak exploite une faille dans Windows Defender, le moteur anti-malware intégré, pour élever les privilèges d'un utilisateur de bas niveau à un accès complet à l'appareil et aux données. Selon Nightmare Eclipse, l'exploit de preuve de concept fonctionne sur Windows 10, Windows 11 (y compris la dernière version 25H2) et Windows Server 2025, et nécessite que l'utilisateur exécute une application malveillante. Le chercheur en sécurité Will Dormann a vérifié que l'exploit fonctionne, notant que Windows Defender doit être activé pour qu'il réussisse.

Cette divulgation est importante car il s'agit d'un zero-day : Microsoft n'a pas eu le temps de corriger avant la publication publique, laissant les systèmes vulnérables. Le bug s'appuie sur un exploit antérieur de Nightmare Eclipse appelé RoguePlanet, que Microsoft a corrigé, mais le chercheur affirme que le nouvel exploit contourne complètement ce correctif. Microsoft n'a pas encore publié de correctif pour ShieldBreak, et un porte-parole n'a pas immédiatement commenté lorsqu'il a été contacté par TechCrunch.

Cette publication s'inscrit dans un conflit de longue durée entre Nightmare Eclipse et Microsoft concernant le traitement des rapports de bogues. Dans des articles de blog, le chercheur a affirmé que Microsoft l'avait maltraité et avait mal géré les rapports, laissant entendre que la divulgation publique était la seule option. Nightmare Eclipse a précédemment publié d'autres bogues Windows qui ont ensuite été exploités dans des attaques réelles. En mai, Microsoft a publié un article de blog menaçant de poursuites judiciaires les chercheurs qui divulguent des zero-days en dehors de ses politiques, ce qui a suscité de vives critiques de la part de la communauté de la sécurité ; Microsoft a ensuite nuancé ses propos sur les réseaux sociaux, mais l'article original reste inchangé.

ShieldBreak arrive un jour après le Patch Tuesday d'août 2026 de Microsoft, le deuxième mois consécutif avec environ 500 correctifs, en raison de l'utilisation croissante de l'IA par l'entreprise pour détecter les failles de sécurité. L'absence de correctif pour ShieldBreak signifie que les organisations exécutant des versions Windows affectées restent exposées jusqu'à ce que Microsoft réagisse.