ShieldBreak : une faille zero-day dans Microsoft Defender, toujours sans correctif

YuSMP Group Editorial Team Équipe éditoriale, YuSMP Group

L’essentiel

Qu’est-ce que ShieldBreak et comment fonctionne l’attaque ?

ShieldBreak est un exploit d’élévation de privilèges locale qui cible le Microsoft Malware Protection Engine, le composant d’analyse sur lequel repose Microsoft Defender dans toutes les installations Windows récentes. Contrairement à la plupart des failles de Defender, le défaut ne se situe pas dans l’analyse des fichiers malveillants venus d’Internet. Il exploite une situation de concurrence (race condition) dans le traitement des fichiers lors de l’hydratation des fichiers cloud via la Cloud Filter API (CFAPI) de Windows.

Un attaquant qui dispose déjà d’un accès local limité, c’est-à-dire d’un compte utilisateur standard, peut se servir d’un callback en mode utilisateur pour altérer les données de fichier que Defender reçoit via CFAPI, tout en manipulant les mécanismes du système de fichiers Windows et de l’Object Manager afin d’influencer le fichier finalement analysé par le moteur. Résultat : une exécution de code avec les droits SYSTEM, soit le contrôle administratif complet de la machine. Nightmare Eclipse revendique un taux de réussite de 100 % sur Windows 11 25H2 et Windows Server 2025, et ces affirmations ont été vérifiées de manière indépendante par les chercheurs Will Dormann et Kevin Beaumont.

L’exploit marque surtout parce qu’il transforme l’outil de sécurité lui-même en surface d’attaque. Les organisations qui s’appuient sur des tests d’intrusion et audits de sécurité pour valider leur parc Windows devraient tester ce vecteur en priorité sur les postes et serveurs sous Windows 11 25H2 et Server 2025 en attendant le correctif officiel.

Quelles versions de Windows sont exposées ?

La vulnérabilité touche toutes les plateformes Windows sur lesquelles Microsoft Defender fonctionne avec le Malware Protection Engine actif, notamment :

• Windows 11 : toutes les versions prises en charge, exploitation confirmée sur 25H2 et les builds Canary
• Windows 10 : toutes les versions prises en charge avec Defender activé
• Windows Server 2025 : exploitation confirmée ; risque le plus élevé pour l’infrastructure d’entreprise
• Windows Server 2022 et 2019 : concernés lorsque Defender est la couche de protection active

Les antivirus tiers qui remplacent le Microsoft Malware Protection Engine comme moteur d’analyse actif ne sont pas directement concernés par cette faille. Mais la plupart des environnements d’entreprise utilisent Defender comme antivirus principal ou comme composant de Microsoft Defender for Endpoint : dans les deux cas, ils sont exposés.

Les clients de Microsoft Defender for Endpoint qui utilisent le module EDR (Endpoint Detection and Response) restent exposés à l’élévation de privilèges sous-jacente. La télémétrie EDR ne bloque pas l’exploit ; elle ne peut détecter que l’activité postérieure à l’exploitation, à condition que les règles de détection soient à jour.

CISA BOD 26-04 : le délai de 14 jours

L’agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté CVE-2026-69414 à son catalogue des vulnérabilités exploitées connues (KEV) dans le cadre de la Binding Operational Directive (BOD) 26-04, qui impose à toutes les agences fédérales civiles américaines d’appliquer des mesures d’atténuation sous 14 jours. Si la BOD 26-04 ne s’impose qu’aux agences fédérales, l’inscription d’une vulnérabilité au catalogue KEV signale clairement que les équipes d’analyse de la menace du gouvernement américain jugent une exploitation probable, avant même qu’une attaque réelle soit documentée publiquement.

Pour les entreprises, la directive fixe un repère implicite d’urgence : si le gouvernement américain retient 14 jours pour ses systèmes fédéraux, les organisations soucieuses de sécurité dans les secteurs réglementés peuvent raisonnablement adopter le même délai comme SLA pour leurs mesures compensatoires.

Ce que cela signifie pour les équipes de développement aux États-Unis et dans l’UE

Les postes des développeurs sont une surface d’attaque directe. La plupart des postes d’ingénierie logicielle tournent sous Windows 11 avec Defender actif. Un attaquant qui obtient une première exécution de code sur la machine d’un développeur, via un dépôt malveillant, un paquet compromis ou une charge de phishing, peut immédiatement passer SYSTEM grâce à ShieldBreak. Depuis un poste de développement en SYSTEM, le mouvement latéral vers la CI/CD, les coffres d’identifiants et les outils internes devient simple.

L’infrastructure Windows Server 2025 est une cible prioritaire. Windows Server 2025 est la plateforme de référence pour les nouveaux déploiements d’entreprise centrés sur Microsoft, et c’est là que le taux de réussite confirmé de ShieldBreak est le plus élevé. Les agents de build auto-hébergés, les serveurs applicatifs et les contrôleurs de domaine Active Directory hybrides sous Server 2025 doivent être considérés comme temporairement affaiblis jusqu’au correctif.

Le calendrier, juste après le Patch Tuesday, n’a rien d’anodin. ShieldBreak a été publié le jour même du Patch Tuesday d’août 2026, quand les équipes de sécurité sont mobilisées par le déploiement des correctifs officiels. Le chercheur a diffusé un exploit fonctionnel au moment où les opérations étaient le plus accaparées et où la plupart des outils de protection affichaient un statut « vert » après mise à jour. Avoir appliqué le Patch Tuesday d’août ne protège pas contre ShieldBreak.

Les secteurs réglementés cumulent les obligations. Pour les équipes FinTech soumises à DORA, une élévation de privilèges locale non corrigée dans un composant présent sur pratiquement chaque machine Windows est un risque TIC significatif, à inscrire au registre des risques avec des mesures compensatoires documentées. Pour la HealthTech soumise à HIPAA, un exploit SYSTEM sur tout hôte ayant accès à des données de santé protégées (PHI) crée un risque de violation à déclarer si la faille est exploitée avant le correctif.

Ce que ShieldBreak change pour les entreprises françaises

En France, Microsoft Defender est très répandu dans les PME et les ETI qui gèrent leurs postes via Microsoft 365, souvent sans autre solution EDR. Le délai de 14 jours de la CISA ne s’applique pas ici, mais il constitue un bon repère interne. Le CERT-FR de l’ANSSI publie régulièrement des avis et alertes de sécurité sur les produits Microsoft : suivez-les en parallèle du portail MSRC, et appuyez-vous sur les recommandations de l’ANSSI pour durcir les postes Windows et limiter les comptes administrateurs locaux.

Côté conformité, une exploitation qui touche des données personnelles doit être notifiée à la CNIL dans les 72 heures au titre du RGPD. Les banques et assureurs, supervisés par l’ACPR, appliquent DORA depuis janvier 2025 : une élévation de privilèges connue et non corrigée relève de leur gestion du risque TIC. Les entités concernées par la transposition française de NIS2 doivent, elles aussi, documenter leurs mesures. Préparez dès maintenant la chaîne de décision : qui notifie, sur la base de quels journaux, et dans quel délai.

Quelles mesures d’atténuation appliquer en attendant le correctif ?

En l’absence de correctif officiel de Microsoft, les entreprises doivent s’appuyer sur les mesures compensatoires suivantes. Appliquez toutes celles qui correspondent à votre environnement : aucune ne ferme seule la faille, mais combinées, elles augmentent nettement le coût d’une exploitation.

Microsoft a indiqué travailler à une mise à jour de sécurité pour CVE-2026-69414. Surveillez l’avis du Microsoft Security Response Center et appliquez la mise à jour dès sa publication : pour cette vulnérabilité, aucun retard de correctif n’est acceptable.

Questions fréquentes