Microsoft a confirmé travailler sur une mise à jour de sécurité visant à corriger une vulnérabilité d’élévation de privilèges dans le moteur de protection contre les logiciels malveillants de Microsoft Defender, après sa divulgation publique sous le nom de ShieldBreak. L’entreprise a enregistré la vulnérabilité sous le numéro CVE-2026-69414, mais n’a pas encore indiqué de date de publication du correctif.
L’entreprise a réagi après que le chercheur en sécurité connu sous le nom de Nightmare Eclipse a publié les détails de la vulnérabilité ainsi qu’une preuve de concept de son exploitation, à la suite des mises à jour du « Patch Tuesday » d’août 2026. Microsoft a déclaré suivre le signalement et vérifier sa validité ainsi que son applicabilité, tout en confirmant travailler à la fourniture d’une mise à jour de sécurité de haute qualité et à l’ajout des informations nécessaires dans la fiche CVE lorsque la mise à jour sera disponible.
Comment fonctionne ShieldBreak ?
Le chercheur a décrit la vulnérabilité comme un contournement du correctif d’une autre vulnérabilité de Defender, connue sous le nom de RoguePlanet et enregistrée sous le numéro CVE-2026-50656. Selon le chercheur, un attaquant local disposant de privilèges limités peut utiliser l’exploitation pour obtenir les privilèges SYSTEM, qui figurent parmi les niveaux de privilèges les plus élevés de Windows.
Le chercheur a déclaré que la preuve de concept avait été testée sur la dernière version de Windows 11 25H2, y compris le canal Canary, ainsi que sur Windows Server 2025, et qu’elle avait atteint un taux de réussite total selon sa description. Il a également indiqué que Windows 10 et les versions correspondantes pour serveurs n’étaient pas prises en charge par la preuve de concept, tout en restant vulnérables. L’analyste en vulnérabilités Will Dormann a confirmé que l’exploitation fonctionnait, précisant que Microsoft Defender devait être activé pour permettre à l’attaquant d’élever ses privilèges.
Qu’est-ce qui change concrètement pour les entreprises ?
Les informations disponibles n’indiquent pas que ShieldBreak permette à elle seule un accès à distance : le scénario décrit commence par un attaquant disposant d’un accès local et de privilèges initiaux limités. Toutefois, la réussite de l’élévation peut transformer cet accès limité en un contrôle avec les privilèges SYSTEM sur un appareil protégé et à jour, ce qui rend la disponibilité du correctif importante pour les équipes chargées de la gestion de Windows et de la sécurité des entreprises.
Pour le moment, le document ne fournit aucune date annoncée pour la mise à jour ni aucune confirmation de Microsoft indiquant que le chercheur a découvert la vulnérabilité. Les détails opérationnels restent donc liés à ce que le chercheur a publié et à l’évaluation initiale de l’analyste, jusqu’à ce que l’entreprise publie sa mise à jour et ses informations définitives.
Un désaccord sur la divulgation des vulnérabilités
Nightmare Eclipse a publié ShieldBreak sans en informer Microsoft au préalable, dans le cadre d’un désaccord persistant avec l’entreprise concernant les pratiques de divulgation des vulnérabilités et son programme de récompenses pour la découverte de failles. Après la publication de preuves de concept concernant plusieurs vulnérabilités, Microsoft a averti qu’elle pourrait engager des poursuites judiciaires contre ce qu’elle a décrit comme des activités malveillantes causant un préjudice réel à ses clients, ce que beaucoup ont considéré comme une menace visant le chercheur.
Depuis avril 2026, le chercheur s’est vu attribuer la publication de vulnérabilités zero-day ciblant Defender, BitLocker et d’autres composants de Windows, notamment LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma et UnDefend. Microsoft a corrigé YellowKey, GreenPlasma et MiniPlasma dans ses mises à jour de juin 2026, puis RoguePlanet en juillet, tandis que d’autres vulnérabilités attendent encore un correctif officiel.