Le 8 septembre 2026, Microsoft a déployé son traditionnel Patch Tuesday, une mise à jour mensuelle qui corrige des failles de sécurité dans Windows. Selon l’éditeur, cette édition a comblé un nombre record de vulnérabilités, environ 970. Quelques heures plus tard, un chercheur en sécurité connu sous le pseudonyme Nightmare Eclipse a rendu publique une démonstration baptisée ShieldCrash, indiquant que l’un des correctifs appliqués ne résout pas complètement le problème visé.
Une faille dans Windows Defender malgré le correctif
Le correctif concerné visait Windows Defender, l’antivirus intégré par défaut à toutes les machines Windows. D’après le chercheur, il est toujours possible de reproduire la faille que Microsoft pensait avoir corrigée. Cette situation s’inscrit dans une série de trois épisodes : une première vulnérabilité, RoguePlanet, a été corrigée en juillet ; une deuxième, ShieldBreak, a montré en août que ce correctif était insuffisant ; et désormais ShieldCrash démontre que le correctif d’août ne suffit pas non plus.
Portée et risques concrets
Concrètement, la faille permet à un attaquant qui dispose déjà d’un accès à l’ordinateur — par exemple via un logiciel malveillant déjà installé ou un accès physique — d’obtenir les droits les plus élevés du système, appelés « SYSTEM ». Avec ce niveau de privilèges, il peut lire des fichiers normalement protégés, y compris ceux réservés à l’administrateur.
Deux limites importantes réduisent toutefois la menace. D’une part, l’exploit ne permet pas pour l’instant de modifier ou d’écrire des fichiers, seulement de les lire. Le chercheur a précisé qu’il s’agissait d’une version « basique », ce qui laisse envisager une version plus dangereuse à l’avenir. D’autre part, la faille ne peut pas être exploitée à distance depuis Internet : un attaquant doit déjà avoir un pied dans la machine visée. Le risque quotidien pour un utilisateur qui navigue normalement, sans télécharger de fichiers douteux ni exécuter de programmes non fiables, reste donc limité.
Systèmes concernés et recommandations
Les ordinateurs sous Windows 10 ou Windows 11 avec Windows Defender activé font théoriquement partie du périmètre concerné. Selon les tests du chercheur, la faille fonctionne à 100 % sur Windows 11 25H2 et sur Windows Server 2025, et toucherait également les autres versions de Windows encore prises en charge. En revanche, les utilisateurs d’un autre antivirus (Bitdefender, Avast, Kaspersky ou autre) ou ceux ayant désactivé Defender ne sont pas concernés par cette faille précise.
En attendant un correctif spécifique, Microsoft n’a pas encore publié de patch contre ShieldCrash. Les bonnes pratiques restent de garder Windows à jour en laissant les mises à jour automatiques activées, et d’éviter de télécharger des fichiers ou d’installer des programmes provenant de sources non vérifiées, puisque c’est précisément ce type de comportement qui pourrait permettre à un attaquant d’obtenir un premier accès avant d’exploiter la faille.
Contexte et réaction de Microsoft
Nightmare Eclipse, également connu sous les noms Chaotic Eclipse ou MSNightmare, est un chercheur habitué à publier ce type de démonstrations, souvent après avoir critiqué la manière dont Microsoft traite les signalements de failles et gère son programme de primes. De son côté, l’éditeur a brandi la menace de poursuites contre les auteurs d’« activités malveillantes causant un préjudice réel ».
Ce qui est confirmé et ce qui reste inconnu
À ce stade, il n’existe aucune preuve que cette faille soit exploitée massivement dans la nature. Elle demeure une démonstration technique destinée à alerter Microsoft, plutôt qu’un outil déjà utilisé par des cybercriminels à grande échelle. Un correctif devrait logiquement suivre lors d’une prochaine mise à jour de sécurité, comme cela a été le cas pour les deux failles précédentes de cette même série. Microsoft n’a pas encore communiqué de calendrier pour un correctif spécifique.