Une nouvelle vulnérabilité de Microsoft Defender met Windows sous contrôle : elle met l'ensemble de votre PC en danger

Le problème est particulièrement préoccupant car le nouvel exploit peut atteindre Privilèges SYSTÈME même sur les ordinateurs dotés d'un système Windows entièrement mis à jour. Comme vous vous en souvenez peut-être, RoguePlanet était une vulnérabilité d'escalade d'autorisations située dans le moteur de protection contre les logiciels malveillants de Microsoft Defender.

Le bogue d’origine exploitait une condition du système de fichiers pour amener le processus de quarantaine de Microsoft Defender à manipuler certains fichiers système. Microsoft a corrigé le problème via une mise à jour du composant Malware Protection Engine, mais le chercheur affirme que la solution n'a pas complètement éliminé la voie d'attaque.

Une nouvelle attaque contre les correctifs Microsoft

ShieldBreak utilise un mécanisme différent pour obtenir un résultat similaire. Selon l'analyse publiée par Kevin Beaumont, la nouvelle méthode profite d'un hook en mode utilisateur pour modifier le contenu de certains fichiers tandis que Defender effectue une analyse à l'aide de l'API Cloud Filter (CFAPI). De cette manière, l'attaquant peut manipuler l'interaction entre l'antivirus et les fichiers contrôlés par le système pour atteindre le niveau maximum de sécurité. Privilèges Windows.

L'obtention des privilèges NT AUTHORITYSYSTEM est particulièrement sérieuse. La raison en est que ce compte dispose de permissions encore plus grandes que celles d’un administrateur classique. Un attaquant qui parviendrait à exécuter du code avec ces autorisations pourrait modifier des fichiers protégés, désactivez les mécanismes de sécurité, installez des logiciels malveillants persistants ou effectuez d'autres actions qui compromettent complètement l'ordinateur.

Ce sont les versions de Windows concernées par la faille de sécurité

Le chercheur affirme avoir testé ShieldBreak sur les versions les plus récentes de Windows 11 25H2, y compris les versions du canal des Canarieset sur Windows Server 2025. Il affirme avoir eu un taux de réussite de 100 % à ses tests. Il note également que Windows 10 et les versions correspondantes de Windows Server sont vulnérables, bien que la preuve de concept actuellement publiée ne les prenne pas en charge.

Cela signifie que l'installation des dernières mises à jour de Windows ne garantit pas, pour le moment, qu'un ordinateur sera protégé contre cette nouvelle méthode. La situation est particulièrement délicate car ShieldBreak a été publié comme preuve de concept, fournissant aux chercheurs et aux attaquants potentiels suffisamment d'informations pour étudier et adapter le mécanisme.

Microsoft étudie déjà le problème pour le résoudre

À l'heure actuelle, la société responsable a confirmé qu'elle était au courant des réclamations liées à cette nouvelle vulnérabilité et qu'elle étudiait sa validité et sa portée. L'entreprise a également rappelé son engagement en faveur de la divulgation coordonnée des vulnérabilités et a indiqué qu'elle s'efforçait de protéger ses clients contre les problèmes de sécurité confirmés.

Pour l’instant, il n’existe pas de solution spécifique pour BouclierBrise. Par conséquent, les utilisateurs doivent maintenir Windows et Microsoft Defender entièrement à jour, même si ces mesures ne bloqueront pas nécessairement le nouvel exploit. Dans les environnements professionnels, il est particulièrement conseillé de surveiller les comportements anormaux et de limiter autant que possible l’exécution de logiciels non fiables.

Ce cas met également en évidence un problème important : corriger une vulnérabilité ne signifie pas toujours éliminer complètement sa cause. ShieldBreak serait précisément un exemple de la façon dont un attaquant peut trouver une voie alternative pour exploiter un mécanisme qui avait apparemment déjà été corrigé.