Ce que ShieldBreak a démontré le 12 août
Un chercheur connu sous le nom de Chaotic Eclipse, également identifié comme Nightmare Eclipse, a publie une preuve de concept appelee ShieldBreak : un contournement complet du correctif de juillet de Microsoft pour CVE-2026-50656, la faille RoguePlanet d'elevation de privilèges dans le Malware Protection Engine de Defender. Le chercheur revendique un taux de réussite de 100 pour cent sur Windows 11 25H2, son canal Canary, et Windows Server 2025. Kevin Beaumont a reproduit l'exploit de manière independante contre un système Windows 11 entièrement à jour, apportant une confirmation externe au-delà du rapport du découvreur lui-même.
La réponse de Microsoft jusqu'ici : l'entreprise dit avoir connaissance du signalement et étudier activement la validité et l'applicabilite potentielle de ces affirmations, tout en soulignant qu'elle soutient la divulgation coordonnée - une remarque pointue, puisque ShieldBreak a été publié sans préavis à Microsoft, dans le cadre de ce que la presse décrit comme un différend croissant entre ce chercheur et le processus de gestion des vulnérabilités de Microsoft depuis avril 2026. Aucun correctif, CVE ni calendrier n'existe pour ShieldBreak à la date de publication.
Pourquoi corrigé a cessé de vouloir dire protégé
La faille RoguePlanet d'origine était une condition de concurrence combinée à une résolution de liens défectueuse à l'intérieur de mpengine.dll, et le correctif de juillet de Microsoft s'attaquait précisément à ce mécanisme. ShieldBreak atteint le même résultat au niveau SYSTEM par une voie différente : il detourne le scan de fichiers par hydratation cloud de Defender via la Cloud Filter API, combiné a une manipulation du Common Log File System et a des liens symboliques de l'Object Manager, pour amener Defender a verrouiller un fichier système légitime pendant qu'un remplacement malveillant est substitué. Beaumont a souligné que la voie technique est sensiblement différente du défaut d'origine, ce pourquoi il refuse de parler d'un contournement littéral de la même faille - mais l'exposition pratique pour une entreprise est identique dans les deux cas.
Comme l'exploit exige que Microsoft Defender soit en cours d'execution pour fonctionner, le contrôle même sur lequel la plupart des environnements Windows s'appuient pour arrêter l'elevation de privilèges devient ici le mécanisme qui la rend possible. Les rapports confirment que Windows 10, Windows 11 et Windows Server 2025 sont tous concernés, et non un cas marginal limite aux versions préliminaires.
Le problème du tableau de bord de conformité
Toute organisation ayant enregistré CVE-2026-50656 comme corrigé après le correctif de juillet dispose désormais d'un registre de conformité techniquement exact mais pratiquement incomplet : le correctif est bel et bien appliqué, et pourtant le résultat précis d'elevation de privilèges qu'il devait fermer reste atteignable par une autre voie. Un audit de routine qui ne vérifie que les numéros de version du Malware Protection Engine par rapport à la base de juillet ne détectera pas cet écart, car le numéro de version lui-même n'a pas changé.
C'est exactement l'echec structurel que les audits NIS2 et DORA existent pour détecter - un contrôle qui paraît satisfait sur le papier alors que le risque sous-jacent persiste -, sauf qu'ici les documents ne sont pas faux. Le correctif a été appliqué correctement. C'est l'hypothese selon laquelle l'appliquer fermait la porte qui a cessé d'être vraie en silence, des semaines après les faits et sans qu'aucun registre de conformité ne le montre.
Que faire cette semaine, corrigé où non
Commencez par un inventaire des versions du Malware Protection Engine dans toute l'organisation - toute version inférieure à 1.1.26060.3008 reste vulnérable à la faille RoguePlanet d'origine indépendamment de ShieldBreak -, déployez ensuite les requêtes de détection publiées par Kevin Beaumont pour Microsoft Defender for Endpoint, et surveillez MsMPEng.exe pour toute création anormale de processus enfants, duplication de jetons et activité de jonctions où de liens symboliques.
Restreignez les droits d'administrateur local la où c'est possible, activez la protection contre la falsification de Defender et déployez d'abord en mode audit les règles de réduction de la surface d'attaque, car les propres recommandations de Microsoft avertissent que ces contrôles compensatoires peuvent affecter des applications professionnelles légitimes. Traitez ceci comme un point de surveillance ouvert pour la réponse aux incidents, et non comme un ticket de gestion de correctifs clôturé, jusqu'à ce que Microsoft publie et confirme une solution - et retestez la couverture de détection le jour où elle arrive.
À lire ensuite: Le modèle cyber de Microsoft cède les 10% durs | La fuite Trezor transforme adresses en cibles
