Le zero-day 'ShieldBreak' non corrigé dans Microsoft Defender accorde l'accès SYSTEM sur toutes les versions de Windows

Une faille dans Defender que les correctifs ne peuvent pas arrêter

Le chercheur en sécurité «Nightmare Eclipse» a publié un exploit de preuve de concept fonctionnel pour une vulnérabilité dans Microsoft Defender appelée ShieldBreak (CVE-2026-69414), qui peut élever n'importe quel attaquant local à faibles privilèges au niveau SYSTEM sur des systèmes Windows entièrement à jour. Microsoft ne dispose d'aucune mise à jour de sécurité prête et a seulement confirmé qu'il «enquête activement», tel que l'a rapporté BleepingComputer en premier.

Ce que fait ShieldBreak

ShieldBreak cible le Microsoft Malware Protection Engine — le cœur d'analyse à l'intérieur de Defender — précisément lors de l'hydratation des fichiers cloud. Lorsque Defender récupère un fichier depuis le stockage cloud via l'API Windows Cloud Filter (CFAPI) pour l'analyser, l'exploit insère un callback en mode utilisateur qui substitue le contenu du fichier en cours d'analyse. Defender se retrouve à analyser un fichier différent de celui qu'il a récupéré, compromettant entièrement l'intégrité de l'analyse.

L'expert en sécurité Kevin Beaumont a confirmé le mécanisme : un hook de callback en mode utilisateur modifie le contenu du fichier pendant l'analyse de cloud-hydration de Defender via CFAPI. Le chercheur revendique un taux de réussite de 100% sur Windows 10, Windows 11 25H2 (y compris les versions du canal Canary) et Windows Server 2025.

Un contournement d'un contournement

ShieldBreak a été spécifiquement conçu pour contourner le correctif que Microsoft a publié en juillet 2026 pour une faille antérieure appelée RoguePlanet (CVE-2026-50656). Là où RoguePlanet exploitait une condition de concurrence dans le système de fichiers, ShieldBreak prend un chemin entièrement différent — le callback en mode utilisateur — pour parvenir au même résultat. Nightmare Eclipse a publié l'exploit sans préavis à Microsoft, invoquant un différend persistant sur les pratiques de bug bounty et de divulgation des vulnérabilités de l'entreprise.

Qui est concerné

Tout système Windows avec Microsoft Defender activé est potentiellement vulnérable — ce qui signifie en pratique presque tous les ordinateurs Windows avec les paramètres par défaut. Les plateformes affectées incluent Windows 10, Windows 11 (toutes les versions jusqu'à 25H2 et le canal Canary) et Windows Server 2025. La vulnérabilité nécessite que l'attaquant dispose déjà d'un accès local ; c'est une faille d'élévation de privilèges, pas d'exécution de code à distance.

Pas de correctif, pas de calendrier

Microsoft a attribué CVE-2026-69414 avec un score CVSS de 7.8 et une cote d'exploitabilité «Exploitation More Likely», mais n'a publié aucune correction ni fourni de calendrier. Sa déclaration indique qu'il «travaille à fournir une mise à jour de sécurité de haute qualité qui corrige cette vulnérabilité.»

La Directive Opérationnelle Contraignante BOD 26-04 de la CISA exige des agences fédérales qu'elles appliquent des mesures d'atténuation pour les zero-days exploités dans les 14 jours suivant leur ajout au catalogue des Vulnérabilités Exploitées Connues. Les organisations hors du gouvernement fédéral sont invitées à suivre le même standard de 14 jours.

Que faire maintenant

Sans correctif officiel disponible, les équipes de sécurité doivent se concentrer sur la détection plutôt que sur la prévention : surveiller la création inhabituelle de processus au niveau SYSTEM sur les endpoints, auditer les chemins d'accès privilégiés et suivre les avis du Microsoft Security Response Center pour les publications de correctifs. Puisque la preuve de concept est déjà publique, la fenêtre entre la divulgation initiale et la militarisation par des acteurs malveillants est effectivement fermée.