6 failles zero-day en six semaines : comment un chercheur en colère a mis Windows à genoux

Résumé des exploits et état des correctifs

Trois des six vulnérabilités ont été corrigées fin mai 2026. Trois autres restaient sans solution, MiniPlasma présentant le risque opérationnel le plus direct.

MiniPlasma est particulièrement dangereux car il permet à un utilisateur standard d'obtenir des privilèges SYSTEM sur un système doté de toutes les mises à jour de mai 2026 . Il exploite le même pilote de fichiers Cloud cldflt.sys que BlueHammer, en réactivant une vulnérabilité déjà traitée en 2020 que le chercheur affirme n'avoir jamais été entièrement corrigée par Microsoft .

Motivation du chercheur : une protestation contre le MSRC

Le chercheur a explicitement décrit ces divulgations comme des représailles pour la mauvaise gestion du MSRC. Des déclarations publiques et des rapports indiquent que ses signalements privés antérieurs ont été rejetés, traités avec lenteur ou assortis d'exigences jugées excessives — notamment une demande de démonstration vidéo de l'exploit . Une affirmation récurrente attribuée au chercheur indique que le MSRC a menacé de « ruiner ma vie et ils l'ont fait » .

Le calendrier des dernières publications — postées le lendemain du Patch Tuesday — était délibérément conçu pour maximiser l'exposition et la pression. YellowKey et GreenPlasma sont tombés le 12 mai, juste après le cycle de mai de Microsoft, et MiniPlasma a suivi le 17 mai .

La réponse de Microsoft et la menace juridique

Le 27 mai, Microsoft a publié un article de blog intitulé « Une responsabilité partagée : Protéger les clients grâce à un signalement coordonné des vulnérabilités » . L'article :

• Désigne les six exploits comme n'ayant « pas été signalés de manière responsable » .
• Exhorte la communauté de la sécurité à suivre les pratiques de Signalement Coordonné des Vulnérabilités (CVD).
• Inclut une menace voilée de son Unité des Crimes Numériques (DCU), avertissant que la divulgation publique armée pourrait entraîner des conséquences juridiques .

Le langage de Microsoft a aggravé le conflit sans résoudre le problème central : trois zero-days restaient sans correctif. Les plateformes hébergeant le code — GitHub vers le 23 mai et GitLab quelques jours plus tard — ont pris des mesures coercitives en supprimant les comptes du chercheur .

Exploitation active et alarmes institutionnelles

À la mi-avril, les trois premiers exploits Defender étaient déjà activement exploités. Huntress et Barracuda ont identifié des cybercriminels récupérant le code PoC directement depuis les dépôts publics GitHub et utilisant des infrastructures liées à des géolocalisations russes .

La CISA a réagi rapidement. BlueHammer a été ajouté au catalogue KEV le 22 avril avec une date limite de correction au 6 mai pour les agences fédérales . RedSun et UnDefend ont suivi avec une échéance au 3 juin . Ces ajouts reflètent une inquiétude profonde : quand les outils de sécurité eux-mêmes deviennent le vecteur d'attaque, les modèles de défense traditionnels s'effondrent.

Réaction de la communauté : un processus de signalement défaillant

La communauté de la cybersécurité a réagi avec un verdict partagé.

Les critiques envers le chercheur sont venues de Barracuda, ThreatLocker et LevelBlue, qui ont qualifié la campagne de dangereuse et contre-productive . Divulguer publiquement des exploits armés expose les utilisateurs professionnels à un risque immédiat en l'absence de correctif.

Les critiques envers Microsoft ont été tout aussi vives. De nombreux chercheurs ont noté que toute cette saga aurait pu être évitée avec un processus MSRC plus respectueux et réactif. Les divulgations ont ravivé des griefs de longue date : triage lent, communication opaque et posture conflictuelle envers les découvreurs qui ne correspondent pas au moule des programmes de primes .

Un élément marquant : Microsoft a proféré une menace juridique alors que trois exploits restaient non corrigés — une décision que les commentateurs ont jugée performative et mal priorisée .

Et maintenant ?

Le chercheur s'est fait discret, mais pas silencieux. Après avoir perdu l'accès aux plateformes, il a migré vers un blog personnel et a explicitement menacé de procéder à une nouvelle publication massive le 14 juillet — le prochain Patch Tuesday . Reste à savoir si cette menace est crédible, mais le schéma est établi.

Pour les équipes de sécurité, la priorité immédiate est claire : appliquer les correctifs hors bande pour Defender, mettre en œuvre les mesures d'atténuation pour YellowKey (supprimer la valeur autofstx.exe dans la clé de registre BootExecute de Windows RE et activer le TPM+PIN pour BitLocker) , et traiter MiniPlasma comme une menace active sans remédiation officielle. Il faut surveiller la publication d'autres PoC synchronisés avec les prochains Patch Tuesdays, et préparer des contrôles compensatoires pour les composants Defender que les attaquants ciblent désormais systématiquement.

L'épisode Nightmare-Eclipse ne se résume pas à six vulnérabilités. Il s'agit d'un test de résistance pour la relation entre les éditeurs de plateformes et les chercheurs dont ils dépendent. Lorsque cette relation se brise, les conséquences sont publiques, exploitables et graves.