HardBreacher : un exploit d’élévation de privilèges dans Kaspersky Endpoint Security a été publié

Un chercheur connu sous le pseudonyme Nightmare Eclipse, ou Chaotic Eclipse, a récemment publié HardBreacher, un exploit de type proof of concept visant Kaspersky Endpoint Security. Le code cible le processus chargé de l’interface utilisateur du produit et pourrait compromettre certaines décisions de sécurité prises sur le endpoint.

Kaspersky a déclaré avoir déjà corrigé le problème. Le correctif est distribué au moyen d’une mise à jour automatique ; les utilisateurs peuvent également lancer manuellement la mise à jour des bases de données du produit.

Au 31 août 2026, plusieurs éléments nécessaires pour délimiter précisément l’exposition font toutefois défaut : les versions vulnérables ne sont pas connues, aucun CVE n’a été attribué et les prérequis complets de l’attaque n’ont pas été communiqués.

HardBreacher cible le processus de l’interface de Kaspersky

Nightmare Eclipse décrit HardBreacher comme un exploit encore peu abouti, mais fonctionnel. La cible est le processus de l’interface utilisateur de Kaspersky Endpoint Security, par l’intermédiaire duquel le PoC pourrait interférer à la fois avec le contrôle de l’interface et avec certaines fonctions de protection.

Selon le chercheur, l’exécution de l’exploit peut provoquer l’arrêt ou le dysfonctionnement du produit. L’effet le plus sensible concerne toutefois la gestion des accès aux fichiers : HardBreacher pourrait permettre d’autoriser ou de refuser des opérations qui, dans des conditions normales, devraient faire l’objet d’une décision différente.

Ce comportement altérerait l’intégrité des décisions prises par le logiciel de sécurité. Un attaquant pourrait ainsi tenter d’exploiter le produit installé sur le endpoint pour obtenir des capacités non prévues, plutôt que de se contenter de désactiver visuellement son interface.

Le problème est qualifié de vulnérabilité d’élévation de privilèges. Si l’exploitation aboutit, ses conséquences pourraient s’étendre à l’ensemble du système d’exploitation. Cependant, aucune chaîne technique complète ne montre les étapes reliant l’interaction avec le processus vulnérable à la compromission finale.

Les versions vulnérables et les conditions d’attaque restent inconnues

Aucune liste des versions concernées n’a été communiquée. Il est donc impossible de déterminer quelles installations de Kaspersky Endpoint Security étaient vulnérables avant le déploiement du correctif.

D’autres informations essentielles font également défaut :

• un identifiant CVE ;
• le numéro de la version corrigée ;
• un bulletin technique du fabricant ;
• une évaluation chiffrée de la gravité ;
• les privilèges initiaux nécessaires ;
• les éventuelles interactions requises de la part de l’utilisateur ;
• la nécessité de disposer d’un accès local préalable au endpoint ;
• une description reproductible de la chaîne d’exploitation.

La classification en tant qu’élévation de privilèges suggère notamment un passage de capacités initiales limitées à des autorisations supérieures, mais les conditions préalables n’ont pas été précisées. Il est donc impossible de déterminer si l’attaque nécessite l’exécution locale de code, une session authentifiée ou d’autres prérequis.

L’ampleur du parc installé potentiellement exposé reste elle aussi indéterminée. En l’absence de numéros de version, les organisations ne peuvent pas effectuer une vérification reposant uniquement sur leur inventaire logiciel. Elles doivent contrôler directement que les mises à jour prévues par Kaspersky ont bien été reçues.

La publication du PoC accroît le risque, sans prouver une exploitation active

La disponibilité publique de HardBreacher réduit la barrière technique nécessaire pour analyser et reproduire la vulnérabilité. Un proof of concept peut être étudié, modifié et intégré à des outils plus fiables par des acteurs autres que son auteur.

Cela ne signifie pas, à lui seul, que des attaques sont déjà en cours. Aucune confirmation de l’utilisation de HardBreacher dans des campagnes opérationnelles n’a été fournie et aucun indicateur de compromission attribué à l’exploitation de cette faille n’a été communiqué.

Le profil du chercheur appelle néanmoins à la prudence. Ces derniers mois, Nightmare Eclipse a publié de nombreux PoC, principalement consacrés à des vulnérabilités de Windows et de Microsoft Defender. Son activité aurait débuté en réaction à sa frustration concernant la manière dont Microsoft traitait les signalements de sécurité.

La plupart de ces exploits seraient restés au stade de démonstrations. Certains auraient toutefois été utilisés par la suite par des acteurs malveillants dans des attaques réelles. Ce précédent ne prouve pas que HardBreacher a déjà été transformé en arme, mais il incite à ne pas le considérer comme un simple exercice de recherche.

On ignore si la vulnérabilité figure dans le catalogue Known Exploited Vulnerabilities de la CISA. Aucune date d’ajout au KEV ni aucune échéance fédérale de remédiation n’ont été indiquées. L’absence de ces informations empêche de considérer officiellement cette faille comme activement exploitée.

ShieldBreak et LegacyHive s’inscrivent dans la même série de divulgations

HardBreacher n’est pas le seul outil publié récemment par Nightmare Eclipse. Le chercheur serait également à l’origine de ShieldBreak et de LegacyHive, tous deux présentés comme des exploits liés à l’élévation de privilèges.

ShieldBreak permettrait à un attaquant de lancer un shell doté de privilèges System, le niveau d’autorisation le plus élevé dans le contexte habituel de Windows. LegacyHive est, quant à lui, associé plus généralement à une vulnérabilité d’élévation de privilèges.

Les éditeurs, produits ou éventuels CVE liés à ces deux outils n’ont pas été précisés. Il est donc impossible d’établir un lien technique direct avec Kaspersky Endpoint Security, au-delà de leur attribution commune au chercheur et de la nature des vulnérabilités traitées.

Cette séquence témoigne néanmoins d’une stratégie de publication régulière de code de démonstration. Pour les défenseurs, elle réduit le délai disponible entre la divulgation d’une faiblesse et sa réutilisation potentielle par des opérateurs malveillants.

Kaspersky distribue le correctif au moyen des mises à jour automatiques

Kaspersky a déclaré que le problème exploité par HardBreacher avait été corrigé. Le correctif est distribué par l’intermédiaire d’une mise à jour automatique du produit.

Les utilisateurs peuvent également lancer manuellement une mise à jour des bases de données. Aucun paquet correctif spécifique ni aucune version minimale permettant de vérifier immédiatement l’installation du correctif n’ont été indiqués.

Il est donc essentiel de contrôler le résultat de la mise à jour. Il ne suffit pas de supposer que la distribution automatique a bien eu lieu : des endpoints hors ligne, des erreurs de communication ou des problèmes de gestion peuvent laisser certains systèmes en retard par rapport au reste de l’organisation.

Les administrateurs devraient donc :

1. vérifier que Kaspersky Endpoint Security a bien reçu les mises à jour automatiques ;
2. lancer manuellement la mise à jour des bases de données sur les systèmes en retard ou non accessibles depuis la gestion centralisée ;
3. contrôler l’état du produit après l’opération ;
4. identifier les endpoints présentant des erreurs, des protections désactivées ou des mises à jour incomplètes ;
5. donner la priorité aux systèmes sur lesquels des utilisateurs ou des processus non fiables peuvent exécuter du code.

En l’absence de versions vulnérables officiellement identifiées, la stratégie la plus prudente consiste à mettre à jour toutes les installations concernées, sans tenter de limiter l’intervention à une version particulière.

Les arrêts inopinés et les décisions inattendues concernant les fichiers sont les signaux à surveiller

Aucun hash, nom de fichier, adresse réseau ou autre indicateur technique directement associé à HardBreacher n’a été publié. La surveillance doit donc se concentrer sur les comportements décrits pour l’exploit.

Les signaux les plus importants comprennent les arrêts inopinés de l’interface de Kaspersky Endpoint Security, la perte soudaine de fonctions de protection et les changements inattendus dans la manière dont le produit autorise ou bloque l’accès aux fichiers.

Les dysfonctionnements répétés du processus de l’interface, en particulier lorsqu’ils coïncident avec des activités locales inhabituelles, méritent également une analyse. Pris isolément, ils ne prouvent pas une exploitation : ils peuvent résulter d’erreurs logicielles ou de configurations défectueuses. Ils doivent toutefois être corrélés avec les journaux du endpoint et avec toute modification de l’état de protection.

La priorité reste l’installation du correctif. HardBreacher est public, tandis que les détails nécessaires pour évaluer précisément l’exposition ne le sont pas. Dans ce contexte, la mise à jour et la vérification opérationnelle offrent une défense plus concrète qu’une évaluation fondée sur des informations encore incomplètes.