ShieldCrash : un nouveau zero-day contourne le correctif ShieldBreak de Microsoft Defender

Un chercheur de sécurité anonyme connu sous le nom de Nightmare Eclipse (ou Chaotic Eclipse) a publié un preuve de concept (PoC) d'exploit nommé ShieldCrash, qui permet de contourner le correctif déployé par Microsoft pour la faille ShieldBreak (CVE-2026-69414) dans Microsoft Defender. L'outil, mis à disposition sur GitHub peu de temps après la sortie du Patch Tuesday de septembre 2026, permet de lire des fichiers arbitraires avec les privilèges maximums du système (SYSTEM) sur des machines Windows entièrement mises à jour.

La faille ShieldBreak d'origine, classée avec un score CVSS de 7,8 par Microsoft et identifiée par CISA comme un problème de gestion de privilèges (CWE-269), exploitait la façon dont le moteur de protection par malware de Defender traite les fichiers cloud. Microsoft a corrigé cette faille dans la version 1.1.26080.3 du moteur de protection par malware, une mise à jour automatique déployée le 3 septembre. Cependant, le chercheur affirme que la correction n'était pas complète et qu'il subsiste une condition non corrigée permettant de réexploiter la vulnérabilité.

Selon les informations cross-checkées par plusieurs médias spécialisés, le code de ShieldCrash est présenté comme un projet Visual Studio C++ accompagné d'un fichier de test eicar_com.zip, similaire à la structure du code de ShieldBreak publié en août. Cela suggère que l'exploit s'appuie sur les mêmes primitives techniques que la faille initiale, plutôt que sur une nouvelle classe de bugs.

Les capacités et limites de ShieldCrash

Il est important de noter que la version actuelle de ShieldCrash est qualifiée de « squelette » (skeleton) par son auteur. Elle permet uniquement la lecture de fichiers, et non l'écriture, ce qui signifie qu'elle ne constitue pas encore une chaîne complète d'élévation de privilèges. Le chercheur a indiqué qu'il pourrait par la suite transformer ce PoC en un exploit SYSTEM complet, mais qu'il l'a publié dans son état actuel par « paresse ».

CrowdStrike, dont l'équipe Falcon Exposure Management examine toujours la question, a évalué que la primitive de lecture pourrait être convertie en une élévation de privilèges complète. L'équipe a également ajouté que, historiquement, les affirmations de ce chercheur se sont révélées exactes.

Le chercheur affirme que le PoC fonctionne sur Windows 10, Windows 11 et Windows Server, toutes versions supportées installées avec les mises à jour de septembre 2026. Il est important de noter que, contrairement à ShieldBreak, Windows 10 figure dans la liste des systèmes affectés, et que l'exploit RoguePlanet de juin ne pouvait pas s'exécuter sur Windows Server. Aucune liste officielle des versions affectées n'a été publiée par Microsoft, et ces affirmations reposent uniquement sur les tests du chercheur.

Un contexte de discorde avec Microsoft

La publication de ShieldCrash s'inscrit dans le cadre d'un différend en cours entre Nightmare Eclipse et Microsoft concernant les pratiques de bounty et de divulgation des vulnérabilités de la société. Depuis avril, le chercheur a divulgué une longue série de zero-days ciblant Microsoft Defender, BitLocker et d'autres composants Windows, tels que LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma et UnDefend.

À ce jour, Microsoft a corrigé plusieurs de ces failles, dont ShieldBreak, RoguePlanet, YellowKey, GreenPlasma et MiniPlasma, mais les autres restent sans correctif officiel. La rapidité avec laquelle le correctif de ShieldBreak a été contourné (à peine cinq jours après son déploiement, ou deux heures après le Patch Tuesday de septembre) souligne les défis persistants dans le patching des logiciels de sécurité. Trois correctifs dans cette chaîne (RoguePlanet, ShieldBreak, ShieldCrash) montrent que l'intervalle entre le déploiement d'un correctif et son contournement s'est considérablement réduit.

La réaction de Microsoft et les menaces de poursuites

Microsoft a répondu à la vague de divulgations en avertissant de poursuites judiciaires contre toute personne engageant des « activities malveillantes causant de réels dommages » à ses clients, une déclaration que beaucoup ont interprétée comme une menace directe à l'encontre du chercheur de sécurité.

L'éditeur de logiciels n'a pas encore officiellement commenté la publication de ShieldCrash au moment de la rédaction de cet article. Les utilisateurs sont invités à s'assurer que les définitions de malware et le moteur de protection de Defender sont automatiquement mis à jour, configuration par défaut recommandée par Microsoft pour les déploiements enterprise et grand public.