Pourquoi Microsoft a retiré ses poursuites contre le chercheur en cybersécurité Nightmare Eclipse

Il a rapidement été confirmé que trois de ces six vulnérabilités étaient déjà activement exploitées : BlueHammer (CVE-2026-33825), RedSun (CVE-2026-41091) et UnDefend (CVE-2026-45498) . L'agence américaine de cybersécurité, la CISA, les a ajoutées à son catalogue des vulnérabilités connues et exploitées, obligeant les agences fédérales à appliquer des correctifs d'urgence . Microsoft avait corrigé BlueHammer lors du Patch Tuesday du 14 avril, puis déployé des correctifs d'urgence pour RedSun et UnDefend le 21 mai après que des attaques eurent été signalées . Début juin, les trois autres failles — YellowKey (un contournement de BitLocker, CVE-2026-45585), GreenPlasma et MiniPlasma — restaient quant à elles sans solution .

Le chercheur a fait état d'un passif de griefs envers la gestion des vulnérabilités par Microsoft. Nightmare Eclipse allègue que des signalements antérieurs, effectués par les canaux officiels, ont été ignorés ou mal gérés, et que des primes de bug bounty — pouvant atteindre 250 000 dollars pour des exploits Hyper-V — n'ont pas été versées . De son côté, Microsoft a affirmé que le chercheur n'avait pas communiqué ces vulnérabilités par les voies officielles avant leur publication .

L'escalade du conflit par Microsoft

La situation s'est brutalement tendue la dernière semaine de mai. Aux alentours du 23 mai, le compte GitHub de Nightmare Eclipse a été suspendu, suivi d'un bannissement de GitLab vers le 26-27 mai . Depuis son blog personnel, le chercheur a alors menacé de publier une nouvelle salve d'exploits « dévastateurs » pour le 14 juillet 2026, date du prochain Patch Tuesday .

Le 27 mai, le MSRC de Microsoft a mis en ligne un article intitulé « Une responsabilité partagée : Protéger les clients par la divulgation coordonnée des vulnérabilités » . Le texte condamnait les divulgations non coordonnées, affirmant que « les divulgations non coordonnées qui mettent du code de preuve de concept pour des vulnérabilités non corrigées entre les mains d'acteurs malveillants ne sont jamais justifiables et ont des conséquences bien réelles » .

Un passage en particulier a suscité l'inquiétude de toute la communauté :

« Notre Unité des Crimes Numériques continuera d'engager des poursuites contre ces acteurs et ceux qui facilitent leur activité criminelle — en coordination, si nécessaire, avec les forces de l'ordre du monde entier » .

Si Microsoft n'a pas nommément cité Nightmare Eclipse, le contexte de cette publication — une réponse directe à la campagne de zero-day en cours — a conduit de nombreux experts à y voir une menace juridique directe contre le chercheur .

La communauté de la cybersécurité s'embrase

La réaction a été immédiate et extrêmement négative. Chercheurs en sécurité, commentateurs du secteur et grands titres de la presse technologique ont accusé Microsoft de tactiques d'intimidation susceptibles de décourager la recherche légitime en sécurité .

En quelques jours, une vague de publications critiques a déferlé. TechCrunch titrait « Microsoft critiqué pour avoir menacé un chercheur en sécurité d'une enquête criminelle » . Windows Central rapportait la peur du chercheur avec le titre « Ils vont ruiner ma vie » . The Register, Security Affairs, CSO Online et le Times of India ont tous couvert la controverse, des médias internationaux soulignant « l'indignation » et le « tollé » dans le milieu de la cybersécurité .

Un thème central de ces critiques : les chercheurs estimaient que la posture juridique de Microsoft sapait la confiance dans le processus de divulgation coordonnée lui-même. Si les chercheurs craignent des représailles juridiques, ils pourraient cesser complètement de signaler les bugs par les canaux officiels . Plusieurs commentateurs ont souligné l'ironie que Microsoft menace un chercheur alors que trois des six vulnérabilités divulguées restaient toujours sans correctif .

Le chercheur en sécurité Kevin Beaumont a publiquement pointé du doigt la gestion de l'affaire par Microsoft, s'interrogeant sur la proportionnalité de sa réponse . Un consensus s'est dégagé autour de l'idée que Microsoft avait provoqué l'escalade en gérant mal les signalements initiaux du chercheur, puis avait aggravé le problème par des rodomontades juridiques .

La rétractation du 2 juin

Le 2 juin 2026, Microsoft a fait marche arrière. Dans une déclaration publiée sur le réseau social X et relayée par de nombreux médias, l'entreprise a affirmé : « Pour clarifier notre approche des questions juridiques, nous n'avons aucune intention d'engager des actions contre les personnes qui mènent ou publient leurs recherches en sécurité » .

Cette déclaration contredisait directement le langage utilisé par l'Unité des Crimes Numériques dans le billet du 27 mai. Microsoft a tenté de faire passer sa communication antérieure pour une déclaration générale sur les pratiques de divulgation coordonnée, et non comme une menace spécifique contre Nightmare Eclipse .

Le blog technologique allemand BornCity a décrit ce revirement comme une tentative de Microsoft de « faire légèrement machine arrière » après le « tollé » provoqué par l'article du MSRC . La publication professionnelle iTnews a rapporté que cette action « fait suite à une forte réaction des chercheurs en sécurité » .

Ce que signifie réellement ce recul

La déclaration du 2 juin doit être comprise comme une mesure de gestion de crise, et non comme une refonte de la politique de Microsoft. L'entreprise ne s'est pas engagée à modifier ses attentes en matière de divulgation, ni à répondre aux affirmations du chercheur concernant des signalements mal gérés et des primes impayées. Microsoft a fait marche arrière sur la menace juridique, tout en maintenant sa position que la divulgation non coordonnée est irresponsable .

Les réactions de la communauté des chercheurs reflètent ce scepticisme. Nombreux sont ceux qui ont perçu cette clarification comme un repli tactique sous la pression publique, plutôt qu'un véritable engagement à protéger les droits des chercheurs . Le statut non résolu de YellowKey, GreenPlasma et MiniPlasma — toujours sans correctif début juin — a continué d'alimenter les critiques sur le décalage des priorités de Microsoft .

Cet épisode a mis au jour les profondes tensions qui entourent les normes de divulgation des vulnérabilités. La divulgation coordonnée repose sur une confiance mutuelle : les chercheurs signalent en privé et les éditeurs corrigent dans un délai raisonnable. Dès qu'une partie perçoit une rupture de ce pacte — que ce soit par des signalements ignorés, des primes non versées ou des menaces judiciaires — tout le système devient fragile. Trois facteurs ont contraint la main de Microsoft : l'ampleur et la rapidité de l'indignation générale, la menace par le chercheur d'une publication encore plus massive le 14 juillet, et l'image déplorable de menaces juridiques alors que ses propres correctifs restaient incomplets.