Un jour après le correctif de Microsoft, quelqu'un a publié la preuve qu'il était incomplet
Microsoft a passé mardi à publier le plus gros lot de correctifs de sécurité de son histoire. Mercredi, un chercheur anonyme a publié la preuve que l'un d'eux n'avait pas fini le travail.
L'outil s'appelle ShieldCrash et vise Microsoft Defender, l'antivirus intégré à Windows. Son prédécesseur, ShieldBreak, portait la référence CVE-2026-69414 et avait été corrigé dans la version 1.1.26080.3 du moteur de protection contre les logiciels malveillants. L'affirmation du chercheur est sans détour : Microsoft a bloqué plusieurs chemins vers la faille et en a oublié un. Ce qui reste permet de lire des fichiers arbitraires avec les privilèges SYSTEM sur Windows 10, Windows 11 et Windows Server entièrement à jour, sans correctif disponible. Le chercheur décrit cette publication comme une version basique et affirme qu'un exploit SYSTEM complet est réalisable.
Avant de partir à la recherche de quelque chose à désactiver, la forme de cette faille compte. ShieldCrash lit des fichiers, il ne peut pas en écrire. Et comme la faille RoguePlanet dont nous avons parlé en juillet, il s'agit d'une élévation locale, c'est-à-dire utile uniquement à quelque chose qui tourne déjà sur votre machine. Personne n'attrape cela depuis une page web ou un courriel. C'est le deuxième mouvement d'une attaque, pas le premier.
C'est le contexte qui rend l'affaire inhabituelle. Depuis avril, la même personne, qui signe Nightmare Eclipse et Chaotic Eclipse entre autres pseudonymes, a diffusé une série de failles zero day visant Windows et Defender : ShieldBreak, LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma et UnDefend, dans un conflit ouvert avec Microsoft sur sa gestion des signalements de bogues et des primes. Microsoft a répondu en brandissant la menace de poursuites pour "activité malveillante causant un préjudice réel". Les particuliers sont spectateurs de cette querelle, ce qui est une position inconfortable.
Il n'y a donc rien à installer et rien à désactiver. Le correctif, quand il viendra, arrivera par les mises à jour du moteur de Defender plutôt que par Windows Update, et la bonne habitude consiste simplement à vérifier que Defender tourne avec la protection contre les altérations activée. Le contrôle de posture de sécurité de Tendvane confirme exactement cela, ce qui vaut le coup d'oeil si quelque chose installé il y a des mois baisse discrètement vos protections.