Un code public annule le correctif de juillet pour Windows Defender

Microsoft avait corrigé en juillet une faille de Windows Defender permettant à un compte standard d'obtenir les droits SYSTEM, les droits les plus élevés sous Windows. Le 12 août, le même chercheur qui l'avait découverte a publié un nouvel outil, baptisé ShieldBreak, qui contourne intégralement ce correctif. Selon BleepingComputer et The Register, l'exploit fonctionne sur des systèmes Windows 10, Windows 11 et Windows Server entièrement à jour. Microsoft indique être « au courant du signalement et en train d'en examiner la validité et la portée », sans donner de date de correctif.

Ce que corrigeait le patch de juillet, et ce qu'il ne corrige plus

La faille d'origine, CVE-2026-50656 et surnommée RoguePlanet par ses découvreurs, est une condition de concurrence (race condition) dans le moteur de protection de Microsoft, mpengine.dll — le composant qui analyse les fichiers pour Defender. Elle est notée 7,8 sur 10 à l'échelle CVSS. Microsoft avait publié un correctif sous forme de mise à jour du moteur (version 1.1.26060.3008) en juillet, distribuée automatiquement comme le sont les mises à jour de définitions antivirus.

ShieldBreak s'attaque à ce correctif directement : selon Arctic Wolf, il exploite un crochet (hook) en mode utilisateur qui modifie le contenu d'un fichier pendant qu'il est analysé lors d'un scan dit de « cloud-hydration », via l'API Cloud Filter (cfapi) de Windows. Le principe reste une condition de concurrence — le fichier change entre le moment où Defender le vérifie et celui où il agit dessus — mais appliquée à un point que le correctif de juillet ne couvrait pas.

Le dixième contournement du même auteur en quatre mois

Le chercheur, connu sous le pseudonyme Nightmare Eclipse, mène depuis avril 2026 ce que The Register décrit comme une campagne systématique contre les produits Microsoft ; ShieldBreak est sa dixième publication de faille zero-day depuis le début de cette campagne. The Register rapporte que l'individu serait soupçonné d'être un ancien salarié de Microsoft, sans que cette information soit confirmée par l'entreprise elle-même. Kevin Beaumont, ancien chercheur en sécurité chez Microsoft, a publié des requêtes de détection pour Microsoft Defender for Endpoint permettant de repérer une exploitation. L'analyste Will Dormann a confirmé de son côté que l'exploit fonctionne bien tel que décrit.

Une élévation de privilèges, pas une porte d'entrée

Un point mérite d'être précisé pour ne pas surestimer le risque immédiat : ShieldBreak est une élévation de privilèges locale. Il suppose qu'un attaquant dispose déjà d'un accès à la machine — un compte utilisateur standard, ou du code déjà en cours d'exécution, par exemple via une pièce jointe piégée ouverte plus tôt. Il ne permet pas, seul, de pénétrer un réseau depuis Internet. Ce qui en fait un problème sérieux malgré tout, c'est son rôle dans la suite d'une intrusion. Un rançongiciel ou un accès obtenu par hameçonnage, une fois sur un poste, peut s'en servir pour obtenir un contrôle total de la machine et neutraliser les protections locales, y compris celles de Defender lui-même.

Ce qu'il faut faire en attendant un correctif

Sans correctif disponible, la réduction de risque passe par des mesures indirectes plutôt que par une action unique. Limiter les droits administrateur locaux aux postes qui en ont réellement besoin réduit le nombre de comptes standards depuis lesquels l'exploit peut être lancé. La protection contre les altérations (Tamper Protection) de Defender, activée par défaut sur la plupart des abonnements Microsoft 365 Business Premium, doit rester active : elle ne bloque pas ShieldBreak lui-même, mais limite les manipulations complémentaires qu'un attaquant tenterait une fois les droits SYSTEM obtenus. Les règles de réduction de surface d'attaque (ASR) de Defender, si votre prestataire les a configurées, valent la peine d'être vérifiées plutôt qu'ignorées jusqu'au prochain correctif.

Ce correctif restera à surveiller dans les prochaines mises à jour de sécurité Microsoft : aucune date n'a été communiquée au 13 août.