Le PoC Microsoft Defender ShieldCrash prétend contourner le correctif de ShieldBreak

Un chercheur en sécurité a publié un code de preuve de concept qui contournerait le correctif déployé par Microsoft pour remédier à une faille d’élévation de privilèges dans le Microsoft Malware Protection Engine.

Le chercheur, connu sous le pseudonyme Chaotic Eclipse, a baptisé cette nouvelle technique ShieldCrash. Elle cible le mécanisme de sécurité à l’origine de CVE-2026-69414, également appelée ShieldBreak, et permettrait à un attaquant de lire des fichiers arbitraires avec les privilèges SYSTEM.

Microsoft a corrigé la vulnérabilité initiale dans la version 1.1.26080.3 du Malware Protection Engine. Chaotic Eclipse affirme toutefois que ce correctif a bloqué plusieurs vecteurs d’exploitation tout en laissant subsister un autre emplacement où le même problème de contrôle d’accès peut encore être déclenché.

Microsoft n’a pas documenté indépendamment ShieldCrash comme une vulnérabilité distincte. Il n’existe donc pas d’identifiant CVE, de score CVSS, de liste de versions affectées ni d’avis du fournisseur propres à ce contournement présumé.

Le PoC cible le moteur d’analyse privilégié de Defender

Le composant vulnérable est le Microsoft Malware Protection Engine, la technologie d’analyse au cœur de Microsoft Defender. Son binaire mpengine.dll assure l’inspection, la détection et le nettoyage des programmes malveillants pour les produits antivirus et antispyware de Microsoft.

Comme ce moteur effectue des opérations sensibles du point de vue de la sécurité avec des privilèges élevés, un défaut de contrôle d’accès peut permettre de franchir la séparation entre un compte faiblement privilégié et le contexte Windows SYSTEM.

Selon Chaotic Eclipse, le PoC ShieldCrash permet de lire des fichiers arbitraires avec les privilèges SYSTEM. Un tel accès pourrait exposer des fichiers qu’un utilisateur local ordinaire ne peut pas ouvrir, notamment des données de configuration protégées, des identifiants enregistrés par des services ou des informations appartenant à d’autres comptes.

La démonstration fonctionnerait sur un système équipé de la dernière version de Windows. Le chercheur affirme également que toutes les versions de Windows pour poste de travail encore prises en charge seraient concernées par ce contournement, même si les éditions et builds exacts de Windows n’ont pas été précisés.

Il s’agit d’une attaque locale, et non d’une compromission distante passant par le réseau. L’attaquant doit d’abord obtenir un accès de base à la machine cible ou être en mesure d’exécuter du code avec les privilèges d’un utilisateur faiblement privilégié.

Aucune interaction de l’utilisateur n’est nécessaire une fois cet accès initial obtenu.

ShieldCrash est un contournement présumé du correctif, pas un nouveau CVE

Microsoft a publié CVE-2026-69414 le 14 août 2026 et mis à jour son avis le 3 septembre 2026. L’entreprise classe ShieldBreak parmi les vulnérabilités importantes d’élévation de privilèges.

La National Vulnerability Database associe cette faille à deux catégories de faiblesses :

• CWE-284 : contrôle d’accès incorrect
• CWE-269 : gestion incorrecte des privilèges

L’avis de Microsoft utilise CWE-284, tandis que la fiche de la NVD ajoute la catégorie relative à la gestion incorrecte des privilèges.

L’affirmation centrale de Chaotic Eclipse est que le correctif de Microsoft n’aurait pas supprimé le problème de sécurité sous-jacent. Il aurait plutôt empêché plusieurs méthodes connues permettant d’atteindre cette condition, tout en laissant disponible un autre déclencheur ailleurs dans le moteur.

Cette distinction est importante. Une correction complète devrait imposer la séparation de privilèges prévue, quel que soit le chemin de code qui mène à l’opération concernée. Un correctif limité à certains chemins peut échouer si une autre route permet d’atteindre le même comportement sensible sans validation équivalente.

Pour l’instant, ShieldCrash reste le nom donné par le chercheur au contournement présumé. Les informations disponibles chez Microsoft et dans la NVD concernent ShieldBreak, et non une vulnérabilité reconnue séparément. Par conséquent, la gravité officielle, les plages de versions et les métriques CVSS de ShieldCrash ne peuvent pas lui être automatiquement attribuées.

Microsoft n’a pas confirmé si le PoC contourne la version 1.1.26080.3 du moteur ni si une autre mise à jour du moteur est nécessaire.

CVE-2026-69414 nécessite un accès local, mais pourrait avoir de lourdes conséquences

CVE-2026-69414 affiche un score de base CVSS 3.1 de 7,8, selon le vecteur suivant :

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Cette évaluation décrit une attaque nécessitant un accès local et de faibles privilèges, mais présentant une faible complexité d’exploitation. Elle n’exige pas que la victime clique sur un fichier, approuve une invite ou effectue une autre action.

Les niveaux élevés attribués à la confidentialité, à l’intégrité et à la disponibilité reflètent les conséquences potentielles d’une élévation de privilèges réussie. La démonstration de ShieldCrash n’a toutefois été décrite que comme permettant la lecture de fichiers arbitraires. Les conséquences plus larges sur l’intégrité et la disponibilité indiquées dans le vecteur CVSS correspondent donc au CVE officiel, et non à des capacités du contournement vérifiées indépendamment.

Microsoft indique le même score de base de 7,8 ainsi qu’un score temporel de 7,0. Son vecteur complet est le suivant :

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H/E:P/RL:O/RC:C

Les métriques temporelles indiquent qu’un code de preuve de concept est publiquement disponible, qu’un correctif officiel existe et que des informations relatives à la vulnérabilité initiale ont été confirmées.

Microsoft marque CVE-2026-69414 comme divulgué publiquement et estime que son exploitation est plus probable, mais son avis ne fait état d’aucune exploitation connue. La publication d’un PoC fonctionnel ne suffit pas, à elle seule, à démontrer l’existence d’attaques dans la nature.

Au 9 septembre 2026, les informations disponibles ne permettent pas d’établir que CVE-2026-69414 figure dans le catalogue des vulnérabilités exploitées connues de la CISA. Aucun délai de remédiation de la CISA ni indicateur d’utilisation par des groupes de ransomware n’est connu pour cette vulnérabilité.

Microsoft a néanmoins vu plusieurs autres vulnérabilités ajoutées au catalogue KEV au cours des 90 derniers jours : CVE-2026-85880 et CVE-2026-81963 le 8 septembre 2026 ; CVE-2019-1068 le 26 août 2026 ; CVE-2026-55040 et CVE-2026-33824 le 18 août 2026 ; ainsi que CVE-2026-68820 le 11 août 2026.

Les entreprises doivent vérifier les versions du moteur, et pas seulement les correctifs Windows

Microsoft identifie 1.26070.7 comme la dernière version vulnérable du Malware Protection Engine et 1.1.26080.3 comme la première version corrigeant CVE-2026-69414.

Ces mises à jour sont distribuées par l’infrastructure de mise à jour antimalware de Microsoft. Elles ne dépendent pas d’un correctif mensuel classique du système d’exploitation Windows, et Microsoft indique qu’aucune action ne devrait être nécessaire de la part des clients lorsque les mises à jour automatiques fonctionnent normalement.

Les équipes de sécurité doivent néanmoins vérifier directement leur déploiement. Elles doivent au minimum :

1. Confirmer que les installations actives de Defender utilisent la version 1.1.26080.3 ou une version ultérieure du moteur.
2. Examiner les appareils qui signalent encore la version 1.26070.7 ou une version antérieure du moteur.
3. Vérifier si des contrôles réseau, des paramètres de proxy, des stratégies de mise à jour ou des systèmes déconnectés ont interrompu les mises à jour antimalware.
4. Lancer une recherche manuelle de mises à jour lorsque la distribution automatique a échoué.
5. Suivre les recommandations de Microsoft pour confirmer le statut de ShieldCrash et toute nouvelle version de référence du moteur.

Microsoft publie généralement des mises à jour du Malware Protection Engine chaque mois ou lorsqu’une menace émergente l’exige. Les signatures de programmes malveillants sont normalement mises à jour environ trois fois par jour et peuvent l’être plus fréquemment si nécessaire.

Passer à la version 1.1.26080.3 reste la réponse appropriée au CVE officiellement documenté. Cela ne permet toutefois pas encore de lever les incertitudes entourant l’affirmation du chercheur, car Microsoft n’a publié ni correctif ni résultat de test spécifiquement consacré à ShieldCrash.

Les installations de Defender désactivées peuvent fausser les résultats d’analyse

Microsoft indique que les systèmes sur lesquels Defender est désactivé ne sont pas exploitables via CVE-2026-69414, même si les binaires concernés peuvent rester installés.

Cette situation peut générer des faux positifs dans les plateformes de gestion des vulnérabilités. Un scanner peut examiner mpengine.dll, détecter une ancienne version et signaler une exposition sans déterminer si le moteur de Defender est actif.

Les administrateurs doivent donc distinguer trois situations :

• Defender est actif et le moteur n’est pas à jour.
• Defender est actif et le moteur corrigé est installé.
• Defender est désactivé, mais d’anciens binaires sont toujours présents sur le disque.

La première situation nécessite une remédiation. La troisième impose de vérifier la configuration plutôt que de conclure automatiquement que l’exploitation est possible.

Les équipes ne doivent pas désactiver Defender comme simple mesure de contournement sans tenir compte de la perte de protection des terminaux qui en résulterait. La mesure d’atténuation préconisée par Microsoft consiste à maintenir à jour le moteur et les signatures.

Le chercheur a déjà publié des découvertes similaires concernant des produits de sécurité

ShieldCrash s’inscrit dans une série plus large de divulgations de Chaotic Eclipse concernant des solutions de sécurité et des logiciels pour terminaux fonctionnant avec des privilèges élevés.

Le chercheur a également publié des informations concernant CrowdStrike Falcon Sensor sous le nom de FalconFlank, Kaspersky sous celui de HardBreacher, Avast Antivirus sous celui de PrettyPrague, et NVIDIA sous celui de GreenSection.

Kaspersky et Avast ont corrigé les problèmes signalés sous les noms HardBreacher et PrettyPrague. CrowdStrike a indiqué enquêter sur FalconFlank. Aucun statut de remédiation n’est connu pour GreenSection.

Pour les clients de Microsoft, la priorité immédiate est plus limitée : vérifier que la mise à jour officielle de ShieldBreak a atteint tous les déploiements actifs de Defender, puis surveiller la réponse de l’éditeur concernant ShieldCrash. Tant que Microsoft n’aura pas confirmé ou réfuté ce contournement, les entreprises doivent considérer le PoC comme une affirmation de recherche crédible, et non comme la preuve d’une exploitation active ou d’une vulnérabilité nouvelle entièrement caractérisée.