Microsoft corrige environ 400 failles, dont un zero-day exploité, tandis qu’un chercheur publie l’exploit ShieldBreak qui contourne le correctif du mois dernier

L’ampleur de la livraison de correctifs d’août 2026

Microsoft a corrigé entre 398 et 421 vulnérabilités couvrant Windows, Office, Azure, Exchange, SharePoint et d’autres produits . Les décomptes de CVE varient selon les sources :

• SANS ISC : 418 CVE, dont 62 critiques
• Tenable : 398 CVE, dont 42 critiques
• CrowdStrike : 415 CVE, dont 62 critiques
• Splashtop : 421 CVE
• BleepingComputer : environ 400 failles, dont 3 zero-days

Toutes les sources s’accordent sur un total d’« environ 400 » vulnérabilités .

Le zero-day activement exploité : CVE-2026-68820

Le seul zero-day que Microsoft a confirmé comme étant exploité activement est CVE-2026-68820, une vulnérabilité d’élévation de privilèges dans le pilote de fonction auxiliaire Windows pour WinSock (afd.sys) . Automox le décrit comme « le pilote derrière les connexions socket Windows sur pratiquement tous les terminaux » . Le bug permet à un attaquant authentifié localement d’obtenir un accès de niveau SYSTEM sur les systèmes concernés .

LegacyHive (CVE-2026-62832) : une faille divulguée publiquement dans le service de profil utilisateur Windows

CVE-2026-62832, surnommée « LegacyHive », est une vulnérabilité d’élévation de privilèges dans le service de profil utilisateur Windows résultant d’une résolution incorrecte des liens avant l’accès aux fichiers (CWE-59) . Microsoft lui a attribué le niveau Important avec un score CVSS de 7,8, et estime que l’exploitation est « plus probable » .

Comment LegacyHive fonctionne

Un attaquant authentifié qui dispose des identifiants d’un second compte local peut exécuter une application spécialement conçue pour charger la ruche de registre d’un autre utilisateur, ce qui peut potentiellement mener à des privilèges d’administration . La faille affecte Windows 10, Windows 11 et Windows Server 2022/2025 avant les versions corrigées .

ShieldBreak : l’exploit qui prétend contourner le correctif de Microsoft

Le 12 août 2026 — le lendemain du Patch Tuesday — le chercheur Nightmare Eclipse (également connu sous le nom de Chaotic Eclipse) a publié une preuve de concept d’exploit baptisée ShieldBreak . Selon le chercheur, ShieldBreak contourne complètement le correctif de juillet 2026 de Microsoft pour CVE-2026-50656 (« RoguePlanet »), une faille d’élévation de privilèges par condition de concurrence dans le moteur de protection contre les programmes malveillants Microsoft Defender (mpengine.dll) .

Ce que fait ShieldBreak

ShieldBreak permettrait d’obtenir les privilèges NT AUTHORITY\SYSTEM sur des systèmes Windows 10, Windows 11 et Windows Server entièrement corrigés . L’exploit utilise une voie d’attaque différente de son prédécesseur : alors que RoguePlanet exploitait une condition de concurrence au niveau du système de fichiers impliquant des disques virtuels, ShieldBreak accroche des rappels en mode utilisateur pour modifier le contenu des fichiers pendant l’analyse d’hydratation cloud de Defender via l’API Windows Cloud Filter (cfapi) . Le chercheur affirme que la preuve de concept atteint un « taux de réussite de 100 % » sur Windows 11 25H2 et Windows Server 2025 .

Statut actuel

Certains analystes ont noté que Microsoft avait peut-être déjà corrigé silencieusement le vecteur de contournement . Cependant, au moment de la publication de ShieldBreak, aucun correctif officiel de Microsoft n’était disponible pour combler cette faille . Des chercheurs indépendants, dont Howler Cell, ont confirmé une reproduction réussie sur un hôte Windows 11 Pro entièrement corrigé .

L’escalade plus large : Nightmare Eclipse contre Microsoft

La publication de ShieldBreak est le dernier chapitre d’un conflit croissant entre Microsoft et le chercheur anonyme Nightmare Eclipse.

Neuf zero-days depuis avril 2026

Depuis avril 2026, Nightmare Eclipse a divulgué publiquement neuf exploits zero-day, dont les failles précédemment nommées RedSun, UnDefend, BlueHammer, YellowKey, GreenPlasma et MiniPlasma . Trois d’entre elles — BlueHammer, RedSun et UnDefend — ont été confirmées comme étant exploitées activement et ajoutées au catalogue KEV (Known Exploited Vulnerabilities) de la CISA .

Menaces juridiques de Microsoft et retour de bâton

Le 27 mai 2026, le Microsoft Security Response Center (MSRC) a publié un article menaçant de poursuites pénales contre le chercheur . Microsoft a également désactivé les comptes du chercheur sur GitHub (propriété de Microsoft) et GitLab . Cette décision a déclenché une vive réaction de la communauté de la sécurité . Le 1er juin 2026, Microsoft a partiellement fait marche arrière, précisant publiquement qu’elle n’avait « aucune intention d’engager des poursuites contre les personnes menant ou publiant leurs recherches en matière de sécurité » .

Publication continue malgré les menaces

Nightmare Eclipse a continué à publier des exploits zero-day tout au long du conflit, ShieldBreak arrivant immédiatement après la publication du Patch Tuesday d’août 2026 . Le chercheur affirme que les signalements de vulnérabilités via les canaux officiels de Microsoft ont été ignorés, ce qui a motivé les divulgations publiques .

Recommandations clés pour les administrateurs informatiques

1. Corriger CVE-2026-68820 en priorité — le zero-day du pilote WinSock est activement exploité .
2. Prioriser CVE-2026-62832 (LegacyHive) — bien qu’elle ne soit pas encore exploitée, Microsoft estime que l’exploitation est « plus probable » et un code PoC public existe .
3. La situation ShieldBreak reste évolutive — Microsoft a peut-être corrigé silencieusement le vecteur de contournement, mais aucune confirmation ou correctif officiel n’a été publié . Les administrateurs doivent surveiller les mises à jour du moteur de protection contre les programmes malveillants Microsoft Defender.
4. La campagne Nightmare Eclipse se poursuit — neuf zero-days ont été publiés depuis avril 2026, et d’autres pourraient suivre .