ShieldBreak : le nouveau zero-day qui ridiculise le correctif de Microsoft pour la vulnérabilité de Windows Defender

Qu'est-ce que ShieldBreak ?

ShieldBreak est un exploit zero-day de type preuve de concept (PoC) publié les 11 et 12 août 2026. Il contourne le correctif déployé par Microsoft en juillet 2026 pour la vulnérabilité RoguePlanet (CVE-2026-50656) dans Microsoft Defender. L'exploit permet à un attaquant disposant d'un accès local d'élever ses privilèges jusqu'au niveau NT AUTHORITY\SYSTEM sur des systèmes Windows pourtant entièrement à jour .

Comment ShieldBreak contourne-t-il le correctif ?

ShieldBreak n'est pas une vulnérabilité nouvelle et indépendante : c'est un contournement direct du correctif. Le chercheur a déclaré que Microsoft « n'a pas correctement corrigé la vulnérabilité RoguePlanet », et la PoC démontre un contournement complet du correctif de juillet . Au lieu d'introduire une classe d'exploitation différente, ShieldBreak parvient à déjouer la mitigation spécifique que Microsoft avait déployée cinq semaines plus tôt .

Qui a publié ShieldBreak ?

L'exploit a été publié par un chercheur en sécurité utilisant plusieurs pseudonymes : Nightmare Eclipse, Chaotic Eclipse, INFINITE NIGHTMARE et MSNightmare . Il s'agit du neuvième exploit zero-day Windows rendu public par ce chercheur .

Systèmes affectés

ShieldBreak affecte les systèmes Windows 10 et Windows 11 entièrement patchés qui exécutent la version de juillet 2026 du moteur Microsoft Defender Malware Protection . Comme il s'agit d'un contournement de correctif, tout système ayant appliqué le correctif de juillet pour CVE-2026-50656 — et aucune mitigation supplémentaire — reste exposé.

Contexte plus large : le conflit de plusieurs mois

Nightmare Eclipse et Microsoft sont engagés dans une confrontation publique sur la divulgation des vulnérabilités depuis plusieurs mois :

• Le chercheur a publié à plusieurs reprises des PoC zero-day quelques heures après les Patch Tuesday de Microsoft, chronométrant ses publications pour maximiser la pression .
• En mai 2026, Microsoft a bloqué le chercheur sur GitHub et GitLab, et a publié un article de blog le critiquant. Le chercheur a répondu en menaçant de publier d'autres zero-day .
• Microsoft a qualifié ces publications de divulgations irresponsables ; le chercheur a répliqué que Microsoft était lent à corriger les failles signalées et que la pression publique était le seul levier efficace .
• The Register rapportait le 9 juillet 2026 que Microsoft avait « corrigé discrètement » RoguePlanet, « refermant le dernier trou exposé par le chercheur en sécurité Nightmare Eclipse après des mois de querelles publiques » . La publication de ShieldBreak, un peu plus d'un mois plus tard, suggère que le conflit est loin d'être terminé.

Le Patch Tuesday d'août 2026 (11 août 2026)

Le Patch Tuesday d'août 2026 de Microsoft a corrigé environ 400 à 418 vulnérabilités (les décomptes varient selon les sources), dont 62 failles de sévérité critique et trois zero-day .

Zero-day activement exploité : CVE-2026-68820

• Composant : Windows Ancillary Function Driver for WinSock (afd.sys), un pilote en mode noyau qui gère les opérations de socket pour presque tous les processus Windows en réseau .
• Type : Vulnérabilité de type use-after-free .
• Sévérité : Importante (score CVSS indisponible dans les sources, mais classée comme Importante / Élévation de privilège) .
• Statut : Activement exploitée dans la nature au moment du correctif .

Deux autres bugs d'élévation de privilèges dans afd.sys ont également été corrigés : CVE-2026-61348 et CVE-2026-70307 . La publication d'août de Microsoft a suivi le Patch Tuesday record de juillet 2026 (570 correctifs) et celui de juin 2026 (environ 200 correctifs) .