Un chercheur contourne pour la troisième fois en quatre mois le patch de Microsoft Defender

Un chercheur en sécurité opérant sous le pseudonyme Nightmare Eclipse a publié ce mois-ci sur GitHub un exploit fonctionnel qui contourne un patch Microsoft Defender expédié quelques semaines plus tôt — il s'agit du troisième contournement consécutif du même composant Windows Defender en quatre mois. Le proof-of-concept, baptisé ShieldCrash, permet à un attaquant de lire des fichiers arbitraires avec des privilèges SYSTEM sur des machines Windows 10, Windows 11 et Windows Server entièrement à jour, exécutant les mises à jour de sécurité de septembre 2026.

ShieldCrash n'accorde pas d'accès en écriture, ce qui limite son exploitation en tant qu'attaque autonome — mais un accès en lecture au niveau SYSTEM suffit pour extraire des identifiants, des secrets de configuration et d'autres données sensibles qu'un attaquant pourrait utiliser pour élever ses privilèges ou se déplacer latéralement sur un réseau. Plus significatif encore, cela démontre que le correctif de Microsoft pour le problème sous-jacent était incomplet : comme le chercheur l'a formulé dans sa divulgation, Microsoft a « corrigé plusieurs éléments pour empêcher la ré-exploitation du problème », mais a « raté un endroit ».

Un schéma récurrent, pas un bug isolé

ShieldCrash est le dernier maillon d'une chaîne qui a débuté en juin 2026 avec RoguePlanet (CVE-2026-50656), une race condition dans le Pipeline de scanning du Malware Protection Engine, que Microsoft a corrigée en juillet. Ce correctif a lui-même été contourné quelques semaines plus tard par un second exploit, ShieldBreak (CVE-2026-69414), que Microsoft a patché à nouveau lors de son Patch Tuesday de septembre. ShieldCrash neutralise également ce patch de septembre, ce qui signifie que le même composant sous-jacent de Windows Defender a désormais échoué à trois tentatives de remédiation distinctes en l'espace de quatre mois.

Nightmare Eclipse a publié neuf exploits zero-day depuis avril 2026, ciblant Microsoft Defender, BitLocker et d'autres composants de sécurité essentiels de Windows. Le chercheur a présenté ces divulgations comme une protestation contre ce qu'il décrit comme une rémunération insuffisante dans le cadre du bug bounty et des pratiques de réponse aux vulnérabilités jugées trop lentes chez Microsoft. Microsoft, de son côté, a répondu par des avertissements publics concernant d'éventuelles poursuites judiciaires contre les « activités malveillantes causant un préjudice réel », sans confirmer s'il entend engager des actions contre ce chercheur en particulier.

Pourquoi cela continue de se produire

Ces contournements récurrents pointent vers un problème structurel plutôt que vers une simple erreur de code : des patches ciblant étroitement le vecteur d'exploitation spécifique utilisé dans un proof-of-concept précédent, sans traiter la faiblesse de conception plus profonde qui rendait le composant exploitable. Cette approche peut sembler efficace à court terme — chaque CVE individuel est bien fermé — tout en laissant la surface d'attaque sous-jacente intacte pour la prochaine variante. Les chercheurs en sécurité ont identifié le Pipeline de scanning du Malware Protection Engine comme une cible persistante précisément parce qu'il fonctionne par conception avec des privilèges élevés, ce qui rend toute faille qu'il contient disproportionnellement précieuse pour les attaquants par rapport aux bugs présents dans des composants moins privilégiés.

Ce que les organisations doivent faire

Aucun patch n'existe pour ShieldCrash au moment de la publication. Les organisations utilisant Windows Defender comme protection principale des endpoints devraient considérer le Malware Protection Engine sous-jacent comme un composant présentant un schéma d'exploitation actif et non résolu, plutôt que comme une frontière de confiance pleinement fiable. Elles devraient privilégier une surveillance accrue des endpoints pour détecter tout accès anormal aux fichiers au niveau SYSTEM, plutôt que d'attendre un quatrième cycle de patch pour combler définitivement la faille. Les organisations soumises à des exigences de conformité en matière de defense-in-depth ne devraient pas considérer un système entièrement à jour comme une garantie suffisante contre cette catégorie spécifique de contournement de Defender, tant que Microsoft n'aura pas résolu le problème de conception du Pipeline plutôt que la technique d'exploitation individuelle.