// CLUBIC — CYBERSECURITY
Le correctif de Microsoft Defender déjà contourné par un nouveau zero-day
ShieldCrash lit des fichiers arbitraires avec les droits SYSTEM sur Windows, malgré le correctif que Microsoft a publié pour ShieldBreak. Le chercheur à l’origine de l’outil affirme que le contournement fonctionne même sur les machines mises à jour au Patch Tuesday de septembre 2026.
Belote, rebelote et dix de der, on ne les compte plus ! Le mois dernier, MSNightmare, chercheur en sécurité, avait exploité ShieldBreak (CVE-2026-69414) pour obtenir un accès SYSTEM sur des machines alors qu’elles étaient protégées par Defender. Pour rappel, SYSTEM désigne le niveau de droits le plus élevé sous Windows, au-dessus même de celui d’un administrateur.
Microsoft avait ensuite corrigé cette faille par une mise à jour de son moteur de protection, mais comme le rapporte Bleeping Computer, le chercheur vient de mettre en ligne ShieldCrash sur GitHub. Cette preuve de concept rouvre l’accès SYSTEM sur les machines équipées de ce correctif, sans toutefois autoriser l’écriture de fichiers. Selon lui, Microsoft a seulement comblé une partie des chemins d’exploitation possibles.
Depuis avril 2026, ce chercheur enchaîne les publications de failles zero-day dans les produits de sécurité de Microsoft, en réaction à un différend sur le traitement de ses signalements. BlueHammer, RedSun, UnDefend et YellowKey ouvraient, entre avril et mai, un accès SYSTEM ou désactivaient la protection de Defender. Trois de ces failles avaient été exploitées dans de vraies attaques avant l’arrivée d’un correctif.
En mai 2026, Microsoft a nommé sa Digital Crimes Unit dans un billet de blog consacré aux divulgations non coordonnées. Pour une partie de la communauté de la cybersécurité, cette mention équivaut à une menace à peine voilée de poursuites. Katie Moussouris, la chercheuse en cybersécurité à l’origine du premier programme de primes aux failles de Microsoft, avait alors averti que cette mention risquait de dissuader d’autres chercheurs de signaler leurs découvertes.
Bien qu’un porte-parole ait ensuite nuancé ces propos sur les réseaux sociaux, le billet original n’a jamais été modifié. Le chercheur affirme avoir perdu l’accès au portail officiel de signalement de Microsoft avant même d’avoir pu déposer un rapport sur ce canal.
L’exploitation de ShieldCrash suppose qu’un attaquant dispose d’un accès local à la machine, par exemple via un compte utilisateur compromis ou un programme malveillant déjà installé. Dans cette configuration, le code publié sur GitHub extrait des fichiers protégés, sans écriture ni exécution de code, sur des versions de Windows équipées du correctif que Microsoft avait diffusé pour ShieldBreak via la version 1.1.26080.3 de son moteur de protection. Ce correctif comblait la faille originelle. Celle-ci détournait le mécanisme utilisé par Defender pour vérifier les fichiers téléchargés depuis le cloud. Le temps de ce contrôle, Defender accordait des droits d’accès temporairement élevés, et ShieldBreak exploitait cette fenêtre pour obtenir un accès SYSTEM complet.
Microsoft n’avait pas encore réagi publiquement à la publication de ShieldCrash. Après la divulgation de ShieldBreak en août, l’entreprise avait seulement confirmé travailler sur un correctif de qualité, sans donner de calendrier. Dans la documentation du dépôt, cet outil n’est encore qu'un simple squelette de preuve de concept, admet le chercheur, faute de motivation pour aller plus loin dans l’immédiat.