Un chercheur en sécurité, connu sous le pseudonyme Chaotic Eclipse (également identifié comme INFINITE NIGHTMARE, MSNightmare et Nightmare-Eclipse), a rendu public un proof-of-concept (PoC) autour d’une nouvelle vulnérabilité baptisée ShieldBreak. Selon les revendications du chercheur, cette faiblesse permettrait de contourner des correctifs liés à CVE-2026-50656 et d’obtenir un shell avec des privilèges SYSTEM—un niveau d’accès particulièrement élevé sur Windows.
Le sujet est sensible car il touche Microsoft Defender for Windows. En pratique, cela signifie que la défense, ou plus précisément une partie de sa logique interne, pourrait être détournée pour franchir les barrières de sécurité attendues après installation des mises à jour.
Dans cet article, nous résumons ce qui est connu sur ShieldBreak Defender, les conditions de test avancées par le chercheur, et les autres éléments de contexte publiés autour de ce cycle de corrections.
Ce que ShieldBreak revendique contre CVE-2026-50656
La vulnérabilité que vise ShieldBreak Defender est associée à CVE-2026-50656 (indice de criticité CVSS 7,8), aussi décrite sous le nom RoguePlanet. Le chercheur explique que RoguePlanet reposerait sur une condition de course (race condition).
Si l’exploitation fonctionne, l’attaquant pourrait ouvrir un shell en s’exécutant sous SYSTEM. Ce niveau de privilèges permettrait alors d’exécuter du code arbitraire ou de mener des actions non autorisées sur la machine compromise.
Le détail important, tel que présenté, est que ShieldBreak ne se limite pas à exploiter la faille d’origine : il vise à contourner le correctif censé la neutraliser.
Quand le correctif a-t-il été publié ?
La divulgation initiale de RoguePlanet par le chercheur date de juin 2026. Toutefois, d’après les informations rapportées, le correctif n’a été déployé par Microsoft que près d’un mois plus tard.
Microsoft aurait alors qualifié le problème comme une escalade de privilèges dans le moteur de protection contre les logiciels malveillants de Microsoft, nommé Microsoft Malware Protection Engine (fichier mpengine.dll).
Après publication des mises à jour, le chercheur a ensuite affirmé que les ajustements de défense ajoutés par Microsoft, pensés pour renforcer la protection, pouvaient aussi engendrer des effets secondaires.
Des « défense-in-depth updates » qui auraient des effets de fuite
Peu après, Chaotic Eclipse a indiqué que certaines mises à jour de type défense en profondeur pourraient mener à une fuite de données lors de l’ouverture d’un fichier, dans des scénarios précis.
Le rapport mentionne un cas affectant Windows 11 25H2 et Windows Server 2025. Dans ce contexte, Microsoft aurait confirmé être au courant de la problématique et l’analyser.
Cette partie du récit met en lumière un point fréquent dans la sécurité logicielle : corriger une vulnérabilité peut modifier le comportement interne, et parfois introduire d’autres symptômes—même si l’objectif initial reste de réduire le risque.
ShieldBreak : un contournement complet selon le chercheur
Contrairement à l’approche centrée sur la fuite de quelques octets, ShieldBreak Defender est présenté comme un contournement complet du correctif associé à CVE-2026-50656. Le chercheur affirme que Microsoft n’aurait pas appliqué correctement le patch destiné à corriger RoguePlanet.
Dans le PoC, il indique avoir testé l’exploitation sur la dernière version de Windows 11 25H2 (avec le canal Canary) et sur Windows Server 2025. Il déclare également disposer d’un taux de réussite de 100% dans ses essais.
Autre précision : Windows 10 (et ses éditions serveur) ne seraient pas pris en charge par le PoC au moment des tests du chercheur. Cependant, il suggère que ces systèmes resteraient vulnérables à ShieldBreak, même si la démonstration technique du PoC n’aurait pas été finalisée pour eux.
Enfin, le média ayant publié l’information précise avoir contacté Microsoft et indiquer qu’une mise à jour suivrait en cas de réponse.
Pourquoi l’accès SYSTEM change la gravité du sujet
Obtenir un shell avec des privilèges SYSTEM signifie, en pratique, que l’attaquant peut agir comme un composant privilégié du système. Selon le scénario, cela peut faciliter :
- l’exécution de charges malveillantes au niveau le plus haut du système ;
- la modification de données protégées ;
- le déploiement de persistance ou la préparation d’autres étapes d’attaque.
Quand cela concerne en plus un élément lié à la protection (ici, Microsoft Defender for Windows), l’enjeu n’est pas seulement la vulnérabilité, mais aussi la confiance dans les mesures défensives installées.
D’autres correctifs et vulnérabilités évoqués dans le même cycle
Le rapport s’inscrit dans un contexte plus large : Microsoft aurait publié des correctifs couvrant 421 failles, dont 236 dans Windows. Parmi les éléments cités, plusieurs vulnérabilités méritent attention.
LegacyHive et CVE-2026-62832
Un correctif concerne CVE-2026-62832 (CVSS 7,8), une vulnérabilité d’escalade de privilèges dans le Windows User Profile Service. Elle a été divulguée par Chaotic Eclipse le mois précédent sous le nom LegacyHive.
Microsoft indique que la résolution incorrecte de liens avant l’accès à un fichier (appelée link following) dans ce service permettrait à un attaquant autorisé d’augmenter ses privilèges localement.
La description mentionne qu’un attaquant authentifié, disposant de justificatifs pour un autre compte local, pourrait lancer une application spécialement conçue pour charger la ruche du registre d’un autre utilisateur. Si l’exploitation fonctionne, l’attaquant pourrait accéder ou modifier les données de l’autre utilisateur et obtenir des privilèges administrateur. Le chercheur indique aussi qu’aucune interaction utilisateur n’est requise dans le scénario décrit.
CVE-2026-68820 : exploitation active et ajout au catalogue KEV
Un autre correctif mentionné concerne une vulnérabilité déjà activement exploitée dans le pilote Windows Ancillary Function Driver for WinSock, référencée CVE-2026-68820 (CVSS 7,0). Cette faille donnerait des privilèges SYSTEM.
À ce sujet, la CISA (agence américaine de cybersécurité) a ajouté CVE-2026-68820 à son catalogue Known Exploited Vulnerabilities (KEV). Les agences fédérales auraient alors une échéance pour appliquer les correctifs fixée au 25 août 2026.
CVE-2026-72971 : attaque sur un filtre FS
Le rapport cite aussi CVE-2026-72971 (CVSS 5,5), décrite comme une faiblesse affectant la manipulation d’un pilote de filtre FS pour les conteneurs, lié à unionfs.sys. Microsoft aurait également remédié à ce problème dans le cadre des mises à jour.
Ce que les organisations devraient retenir
Même si les détails techniques complets du PoC ne sont pas reproduits ici, le message est clair : ShieldBreak Defender s’inscrit dans une logique de contournement de patch et vise des gains de privilèges très élevés.
Pour réduire le risque, les équipes sécurité et IT peuvent notamment :
- vérifier l’application des mises à jour liées à CVE-2026-50656 et aux correctifs associés ;
- surveiller les machines exposées aux scénarios d’exécution décrits (notamment sur Windows 11 25H2 et Windows Server 2025) ;
- accorder une attention particulière aux vulnérabilités listées comme exploitées activement, comme CVE-2026-68820 dans le catalogue KEV.
Dans un environnement réel, la meilleure défense reste la combinaison entre correctifs, détection et durcissement des systèmes.
Conclusion
Le PoC ShieldBreak publié par Chaotic Eclipse place au centre du débat un possible contournement de patch autour de CVE-2026-50656, avec la promesse d’un accès SYSTEM via des mécanismes liés à Microsoft Defender for Windows. En parallèle, le cycle de correctifs évoqué comprend d’autres vulnérabilités significatives, dont une exploitation active listée par la CISA.
En attendant une réponse plus détaillée de Microsoft, l’enjeu pour les organisations est de rester vigilantes : mettre à jour, analyser l’exposition et renforcer les contrôles de sécurité sur les versions Windows concernées.
Source: https://thehackernews.com/2026/08/shieldbreak-zero-day-poc-claims.html
