PrettyPrague : publication d’un PoC d’un zero-day d’Avast permettant d’obtenir les privilèges SYSTEM

Le chercheur Chaotic Eclipse a publié le 1er septembre 2026 PrettyPrague, un exploit proof-of-concept visant une vulnérabilité zero-day d’Avast Antivirus. Selon son auteur, ce code exploite le composant Avast Sandbox pour accéder à la base de données Windows SAM et ouvrir un shell avec les privilèges SYSTEM.

La combinaison de ces deux effets rend le problème potentiellement critique : la base SAM contient des informations sur les comptes locaux, tandis que SYSTEM correspond au niveau de privilèges le plus élevé sur un hôte Windows. Aucun identifiant CVE, score CVSS, détail complet sur les conditions nécessaires à l’attaque ni confirmation d’une exploitation dans le cadre de campagnes réelles ne sont toutefois disponibles.

Aucun correctif, contournement officiel ou avis technique de Gen Digital, propriétaire d’Avast, n’a par ailleurs été publié.

Le PoC cible la sandbox intégrée à Avast

PrettyPrague vise Avast Sandbox, la fonction utilisée par le produit de sécurité pour exécuter du code dans un environnement contrôlé. La faille permettrait de contourner les limites prévues par ce mécanisme d’isolation et d’accéder à des ressources protégées du système d’exploitation.

Les effets décrits sont au nombre de deux. Le premier consiste à extraire la base de données SAM, ou Security Account Manager, utilisée par Windows pour gérer les informations relatives aux comptes locaux. Le second permet d’ouvrir un shell doté des privilèges SYSTEM.

Un tel shell permet à un attaquant de prendre le contrôle complet de l’hôte ciblé. Il pourrait notamment accéder à des données, les modifier, altérer la configuration du système, désactiver les mécanismes de défense et installer d’autres logiciels malveillants. La vulnérabilité est donc particulièrement dangereuse lorsqu’elle intervient après l’obtention d’un premier accès.

Le point précis de la sandbox affecté par la vulnérabilité reste toutefois inconnu. Les informations concernant les paramètres, les appels système, les privilèges initiaux et la chaîne technique de l’exploitation font défaut. Il n’a pas non plus été précisé si PrettyPrague nécessitait l’exécution locale d’un programme, un compte Windows déjà authentifié ou d’autres conditions préalables.

Le PoC démontre un scénario d’élévation de privilèges, mais ne documente pas à lui seul un vecteur d’attaque à distance. Cette distinction est essentielle : l’obtention des privilèges SYSTEM peut permettre de finaliser la compromission d’une machine, mais le code doit d’abord être exécuté dans le contexte requis par l’exploit.

Versions concernées : une exposition potentiellement généralisée

Chaotic Eclipse affirme que PrettyPrague fonctionne contre toutes les versions d’Avast Antivirus. Aucun numéro de version, build précise ou intervalle de versions vulnérables n’a été publié. Cette affirmation ne peut donc pas être traduite en une matrice vérifiable des produits exposés.

Le chercheur indique également avoir observé le comportement sur des installations d’Avast entièrement à jour et sur Windows 11 25H2, lui aussi à jour. Si cette information est confirmée, l’installation des mises à jour actuellement disponibles ne suffirait pas à neutraliser le problème.

Windows 11 25H2 est la seule configuration du système d’exploitation explicitement mentionnée. On ignore si le PoC fonctionne de la même manière sur d’autres versions de Windows et si des différences existent selon l’architecture, les politiques d’entreprise ou la configuration de la sandbox.

Le chercheur soupçonne également qu’AVG et Norton, qui appartiennent eux aussi à Gen Digital, pourraient être concernés. Leur exposition n’est toutefois pas confirmée. En l’absence de tests publics ou d’un avis de l’éditeur, il serait incorrect de les considérer automatiquement comme vulnérables.

De l’accès à la base SAM à la compromission complète de l’hôte

L’accès non autorisé à la base de données SAM peut exposer des informations relatives aux comptes locaux configurés sur la machine. Dans le cadre d’une attaque plus vaste, ces données pourraient aider l’attaquant à consolider son accès ou à préparer d’autres actions contre le système.

L’élément le plus grave reste l’élévation des privilèges au niveau SYSTEM. Un processus exécuté avec ces privilèges peut dépasser les restrictions appliquées aux utilisateurs ordinaires et aux administrateurs dans de nombreux contextes opérationnels. Il peut également intervenir sur les mécanismes de sécurité présents sur l’hôte, renforçant ainsi la persistance de l’attaquant.

Le risque concerne surtout les postes de travail et autres systèmes Windows sur lesquels Avast Antivirus est installé, dès lors qu’un acteur malveillant parvient à y exécuter le PoC. Les machines partagées, celles accessibles à des utilisateurs qui ne sont pas totalement dignes de confiance et les terminaux déjà exposés à un malware disposant de privilèges limités sont particulièrement sensibles.

Aucune classification formelle de la vulnérabilité n’est disponible à ce stade. En l’absence de CVE et de score CVSS, il n’existe pas d’évaluation standardisée. Le manque d’informations sur les prérequis empêche également d’estimer précisément la facilité d’exploitation. L’impact décrit reste néanmoins élevé.

Aucune confirmation d’attaques réelles ni d’inscription au catalogue KEV

La publication d’un PoC fonctionnel réduit le travail nécessaire pour étudier et reproduire une vulnérabilité. Elle ne constitue toutefois pas la preuve que PrettyPrague est déjà utilisé contre des utilisateurs ou des organisations.

Aucune exploitation in-the-wild n’a été confirmée. Aucune campagne attribuée, victime connue, échantillon de malware associé ou infrastructure utilisée pour distribuer l’exploit n’a été identifié.

On ignore également si la vulnérabilité a été ajoutée au catalogue Known Exploited Vulnerabilities de la CISA. L’absence d’identifiant CVE complique en outre le suivi du problème au moyen des systèmes classiques de gestion des vulnérabilités et la mise en relation avec d’éventuels avis ultérieurs.

Aucun indicateur de compromission directement exploitable n’a non plus été communiqué. Les auteurs n’ont fourni ni hachages, ni noms de fichiers, ni chemins, ni événements Windows, ni processus spécifiques, ni modèles de trafic réseau associés à PrettyPrague. Les équipes de sécurité doivent donc principalement s’appuyer sur l’analyse comportementale.

Chaotic Eclipse a déjà publié des exploits visant des produits de sécurité

Chaotic Eclipse est également connu sous les pseudonymes INFINITE NIGHTMARE, MSNightmare et Nightmare-Eclipse. Le chercheur a publié plusieurs PoC liés à des vulnérabilités zero-day, souvent accompagnés de critiques concernant la gestion des signalements par les éditeurs.

Une part importante de ses travaux a porté sur des produits Microsoft, notamment Windows et Microsoft Defender. Parmi les cas associés à ses publications figurent les zero-day baptisés Undefend et RedSun Defender. Certaines vulnérabilités liées à des publications antérieures ont ensuite été observées dans des attaques réelles.

Chaotic Eclipse avait également publié HardBreacher, un PoC visant une vulnérabilité d’élévation de privilèges dans Kaspersky Endpoint Security. PrettyPrague s’inscrit donc dans une série de recherches consacrées à des logiciels qui fonctionnent avec des privilèges élevés et assurent des fonctions de protection des terminaux.

Ces précédents ne prouvent pas que le nouvel exploit est déjà utilisé dans des opérations malveillantes. Ils justifient toutefois un examen rapide du code et des affirmations techniques par l’éditeur et la communauté de la recherche en sécurité.

Comment réduire le risque dans l’attente d’un correctif

Gen Digital n’a indiqué ni correctif ni mesure de contournement officielle. Puisque le PoC serait efficace même sur des systèmes à jour, se limiter à l’installation des versions actuellement disponibles ne constitue pas une mesure d’atténuation démontrée.

Les organisations qui utilisent Avast devraient commencer par recenser les terminaux concernés et surveiller les avis officiels de Gen Digital. Les builds vulnérables n’étant pas connues, le périmètre initial devrait inclure toutes les installations du produit, sans étendre automatiquement cette conclusion à AVG ou Norton.

Il convient de rechercher les processus inhabituels qui obtiennent les privilèges SYSTEM, les shells lancés par des composants liés à Avast ainsi que les accès anormaux aux ressources Windows associées à la base SAM. Toute déviation par rapport à la chaîne de processus habituelle du produit doit faire l’objet d’une vérification, même en l’absence d’indicateurs spécifiques.

Il faut également limiter les accès locaux non autorisés, réduire les possibilités d’exécution de code par des utilisateurs non fiables et appliquer les contrôles applicatifs déjà disponibles. Le PoC ne doit pas être exécuté sur des systèmes de production pour vérifier leur vulnérabilité : les tests doivent être confinés à des environnements isolés et dûment autorisés.

La priorité consiste à empêcher un attaquant d’obtenir le point d’appui nécessaire à l’élévation de privilèges. En parallèle, les responsables de la sécurité devront attendre des informations vérifiables sur les versions concernées, les prérequis, les méthodes de détection et les mises à jour correctives.