Un PoC publié au lendemain du Patch Tuesday d’août, une revendication que personne n’a encore reproduite, et un numéro de version de moteur qui ne prouve plus ce qu’on lui faisait dire.
Résumé exécutif
Le 11 août 2026, quelques heures après la publication des 398 correctifs du Patch Tuesday, Nightmare Eclipse met en ligne ShieldBreak. Le dépôt annonce un contournement complet du correctif de la CVE-2026-50656, la vulnérabilité Microsoft Defender publiée en juin sous le nom RoguePlanet et corrigée le 9 juillet. Le PoC (1) est testé sur Windows 11 25H2, sur le canal Canary et sur Windows Server 2025, avec un taux de succès annoncé de 100 %. Windows 10 est déclaré vulnérable mais n’est pas pris en charge par le code publié.
C’est la neuvième publication de la série depuis avril. La lecture immédiate est tentante : encore un zero-day Defender, encore une fenêtre sans correctif. Elle passe à côté de l’essentiel. La revendication technique n’est validée par personne à ce jour et Microsoft ne s’est pas exprimé.
Ce qui est acquis, en revanche, c’est qu’un contrôle que beaucoup d’équipes ont utilisé pour clore leur suivi de RoguePlanet ne tient plus. La version de moteur 1.1.26060.3008, publiée le 9 juillet, n’atteste plus que d’une chose : la première implémentation publiée a été corrigée. Elle ne dit rien de la condition de fond. La ligne de risque est à rouvrir, indépendamment de ce que vaut techniquement ShieldBreak.
Sur le calibrage, enfin. Il s’agit d’une élévation de privilèges locale, qui suppose que l’attaquant dispose déjà d’une exécution de code sur le poste. Ce n’est ni une RCE (2), ni un vecteur d’accès initial, et Defender continue de détecter et de protéger.
RoguePlanet, ce que le correctif de juillet devait fermer
RoguePlanet est sortie le 10 juin, elle aussi au lendemain d’un Patch Tuesday. Elle vise le moteur de protection contre les logiciels malveillants, qui tourne dans MsMpEng.exe sous le compte SYSTEM.
Le schéma est celui du mandataire confus. L’utilisateur non privilégié n’obtient pas de droits directement : il amène un composant privilégié à agir pour son compte. Ici le composant en question est celui qui est censé protéger le poste, et il détient le niveau de droits le plus élevé de la machine. Sortie de piste : un cmd.exe en NT AUTHORITY\SYSTEM.
Microsoft a corrigé le 9 juillet, hors cycle Patch Tuesday, par une mise à jour du moteur de protection en version 1.1.26060.3008. La CVE (3) est cotée CVSS (4) 7.8. La consigne diffusée un peu partout à ce moment-là tenait en une ligne : vérifiez que le parc porte bien cette version.
La mécanique, et pourquoi un contournement est plausible
Les analyses de juin décrivent une condition de course TOCTOU (5) dans le chemin de traitement de fichiers de Defender, avec trois briques : des jonctions NTFS (6), des verrous opportunistes, et la tâche planifiée QueueReporting du service WER (7). Les remontées du 12 août indiquent que ShieldBreak retravaille cette même plomberie plutôt que d’ouvrir un axe distinct.
Cohérent. Un contournement de correctif suppose exactement cela : la condition de fond n’a pas disparu, seul le chemin publié a été fermé.
Le point de fiabilité mérite qu’on s’y arrête. L’implémentation de juin dépendait du gain d’une race condition et se comportait de façon très inégale selon le matériel, quasi certaine sur certaines configurations, quasi inopérante sur d’autres. Cette instabilité a été lue à l’époque comme un facteur atténuant. Elle n’en était pas un, et si ShieldBreak stabilise réellement le comportement, l’apport n’est pas l’ouverture d’un nouveau chemin : c’est le passage d’une technique probabiliste à une technique déterministe. Sur le terrain, la différence est autrement plus lourde que le contournement lui-même.
Ce qui est vérifié, ce qui ne l’est pas
Deux plans à ne pas confondre, parce qu’ils le sont systématiquement dans la lecture de ce type d’annonce.
Vérifié : la publication existe, elle est attribuable à un acteur documenté depuis avril, et elle est reprise le 11 et le 12 août par The Hacker News, Cyber Kendra, Rapid7 et Windows Forum. Ce n’est pas un faux PoC visant les chercheurs, scénario pourtant courant sur ce terrain.
Non vérifié : le contournement. Aucune reproduction indépendante à ce jour. Pas d’avis mis à jour côté Microsoft, pas de nouvelle référence, pas de démenti. Le taux de 100 % est une affirmation de l’auteur. Le périmètre Windows 10 est une déclaration sans code à l’appui.
Une source crédible n’est pas une revendication vérifiée. Confondre les deux conduit à surréagir sur ce qui ne se confirmera pas, et à manquer ce qui se confirme.
Le vrai sujet : 1.1.26060.3008 ne prouve plus rien
Si ShieldBreak atteint effectivement SYSTEM sur une machine portant cette version, alors le numéro atteste d’une seule chose : la première implémentation publiée a été corrigée. Il n’atteste pas que la condition de traitement de fichiers a été supprimée. Les deux énoncés ne se contredisent pas. Ils portent des messages de risque qui n’ont rien à voir.
Le mécanisme dépasse largement Microsoft Defender. Un correctif qui neutralise un chemin d’exploitation sans traiter la cause racine laisse la porte ouverte à un second chemin. Le numéro de version qui en résulte devient un indicateur de conformité, pas un indicateur de sécurité. Dans une organisation qui pilote sa remédiation sur des tableaux de couverture, la nuance s’évapore complètement : une ligne verte reste verte, et personne ne rouvre le dossier.
Il n’y a pas de parade générale. La seule posture praticable consiste à traiter les versions de moteur comme des données de suivi, jamais comme des critères de clôture, et à maintenir une détection comportementale qui ne dépend pas de l’état de correction du parc.
Détection : la filiation MsMpEng.exe
Le signal est simple et il est bon. Un interpréteur de commandes interactif en intégrité SYSTEM dont le processus parent est le moteur de Defender. Cette filiation ne se produit jamais sur un poste sain. Taux de faux positifs attendu : zéro, ce qui est suffisamment rare pour être signalé.
Deux pistes complémentaires demandent une télémétrie EDR (8) plus fine. La création de points de jonction NTFS par des processus non privilégiés dans des répertoires accessibles en écriture par SYSTEM, typiquement sous les arborescences temporaires utilisateur. Et la sollicitation inhabituelle de \Microsoft\Windows\Windows Error Reporting\QueueReporting depuis un contexte utilisateur standard.
Une mise en garde s’impose. MsMpEng.exe et la tâche QueueReporting sont des composants Windows parfaitement légitimes. Ce sont des pivots de détection, pas des IOC (9). Les pousser dans une chaîne de blocage automatique dégrade le poste au lieu de le protéger. Sur ce type de contenu, le drapeau to_ids reste à false.
Côté contrôle préventif, l’allowlisting applicatif bloquait RoguePlanet. WDAC (10) ou AppLocker restent le seul levier technique effectif tant qu’aucun correctif dédié n’est publié. Sur un parc serveur ou sur des postes à privilèges, l’effort se justifie. Sur un parc bureautique généralisé, rarement.
Ce qu’il faut prioriser à mon sens
| Périmètre | Failles clés | Pourquoi |
|---|---|---|
| Tout le parc | CVE-2026-68820 | Exploitée dans la nature, catalogue KEV (11) de la CISA (12), échéance au 25 août |
| Suivi RoguePlanet | CVE-2026-50656 | Critère de clôture par version de moteur invalidé, ligne à rouvrir |
| Postes et serveurs | CVE-2026-62832 | LegacyHive, même acteur, correctif disponible depuis le 11 août |
| Server 2025 et postes à privilèges | ShieldBreak | Sans correctif, allowlisting applicatif en compensation |
| SOC | Filiation MsMpEng.exe | Règle de détection à déployer, aucun faux positif attendu |
A ce stade, la CVE-2026-68820 passe devant, sans discussion : elle est exploitée, elle est au KEV, et elle a été traitée dans l’analyse du Patch Tuesday d’août. ShieldBreak vient après, et cet ordre ne doit pas s’inverser sous l’effet du bruit médiatique autour du zero-day Defender.
Ce qu’il reste à observer
La validation indépendante viendra probablement vite, comme pour RoguePlanet en juin. La réponse de Microsoft se lira dans le choix qu’elle fera : mise à jour de l’avis existant, ce qui maintient la lecture d’un correctif incomplet, ou attribution d’une nouvelle référence, ce qui acte une vulnérabilité distincte. Le calendrier compte aussi, la correction de juillet étant sortie hors du cycle mensuel.
Reste le fond. Cinq mois, neuf codes de démonstration fonctionnels, tous dirigés contre des composants de sécurité de Windows. On peut juger la démarche comme on veut, elle documente de manière assez méthodique une classe de faiblesse : les composants privilégiés de sécurité sont une surface d’élévation de privilèges par construction, puisqu’ils tournent au plus haut niveau de droits et qu’ils traitent en permanence des données que l’attaquant contrôle.
Enjoy !
Lexique
| N° | Acronyme | Développé |
|---|---|---|
| 1 | PoC | Proof of Concept |
| 2 | RCE | Remote Code Execution |
| 3 | CVE | Common Vulnerabilities and Exposures |
| 4 | CVSS | Common Vulnerability Scoring System |
| 5 | TOCTOU | Time-of-Check to Time-of-Use |
| 6 | NTFS | New Technology File System |
| 7 | WER | Windows Error Reporting |
| 8 | EDR | Endpoint Detection and Response |
| 9 | IOC | Indicator of Compromise |
| 10 | WDAC | Windows Defender Application Control |
| 11 | KEV | Known Exploited Vulnerabilities |
| 12 | CISA | Cybersecurity and Infrastructure Security Agency |
Sources
- The Hacker News • ShieldBreak Zero-Day PoC Claims Microsoft Defender Patch Bypass With SYSTEM Access • 12 août 2026
- Cyber Kendra • ShieldBreak PoC Bypasses Microsoft’s RoguePlanet Defender Fix • 12 août 2026
- Rapid7 • Patch Tuesday August 2026 • 11 août 2026
- Windows Forum • CVE-2026-50656 ShieldBreak Claims Defender Fix Bypass • 12 août 2026
- Picus Security • RoguePlanet: Anatomy of the Nightmare Eclipse Microsoft Defender Zero-Day • 11 juin 2026
- The Register • Microsoft closes book on Nightmare Eclipse’s RoguePlanet zero-day • 9 juillet 2026
- The Register • Nightmare Eclipse publishes new Windows Defender zero-day • 10 juin 2026
- Barracuda Networks • Nightmare-Eclipse: six zero-days, six weeks and one big grudge • 19 mai 2026
- Tenable • Microsoft’s August 2026 Patch Tuesday Addresses 398 CVEs • 11 août 2026
