ShieldCrash contourne le correctif ShieldBreak de Microsoft Defender pour lire des fichiers en SYSTEM
Le 9 septembre 2026, le chercheur Chaotic Eclipse publie ShieldCrash, un proof of concept qui contourne CVE-2026-69414 (ShieldBreak), la faille d’élévation de privilèges que Microsoft prétendait avoir corrigée dans le moteur antimalware de Defender. Vérifiez la version du Malware Protection Engine et traitez l’EDR lui-même comme une surface d’attaque à surveiller.
9 septembre 2026. Le chercheur en sécurité Chaotic Eclipse publie ShieldCrash, un proof of concept qui contourne le correctif que Microsoft affirme avoir appliqué à CVE-2026-69414, la faille d’élévation de privilèges surnommée ShieldBreak dans le moteur antimalware de Microsoft Defender. La démonstration produit une lecture arbitraire de fichiers avec les privilèges SYSTEM, le niveau d’accès le plus élevé de Windows, et le chercheur estime que toutes les versions supportées de Windows restent vulnérables, y compris après les correctifs de septembre 2026. Pourquoi c’est important : l’outil censé protéger les postes devient lui-même un primitif de lecture qui expose les secrets de la machine.
Un correctif qui n’a pas tout fermé
ShieldBreak, référencé CVE-2026-69414 avec un score CVSS 7,8, a été signalé par Chaotic Eclipse en août 2026. Il s’agit d’une élévation de privilèges dans le Microsoft Malware Protection Engine, le composant qui analyse les fichiers et les processus au cœur de Defender. Microsoft l’a corrigé quelques jours avant le 9 septembre, en publiant la version 1.1.26080.3 du moteur — une mise à jour silencieuse, sans action requise côté client, qui n’affecte pas les machines où Defender est désactivé.
ShieldCrash est la réponse du chercheur à ce correctif. Sa formulation est sans ambiguïté : « Microsoft n’a pas correctement corrigé ShieldBreak CVE-2026-69414. Sous certaines conditions, il reste possible de déclencher exactement le même problème que ShieldBreak. Microsoft a corrigé plusieurs points pour empêcher la réexploitation, mais ils ont manqué un endroit où ShieldBreak peut encore être exploité. »
Concrètement, le PoC démontre une lecture arbitraire de fichiers en SYSTEM sur une Windows à jour. Le chercheur le décrit comme une « version de base » : il publie pour l’instant juste assez de code pour prouver que le correctif ne bloque pas complètement ShieldBreak, et n’exclut pas d’en faire plus tard un exploit complet menant à l’exécution en SYSTEM.
Pourquoi une simple lecture de fichier fait mal
Un défenseur pressé pourrait hausser les épaules : une lecture de fichier, sans exécution de code, c’est moins grave qu’une RCE. C’est une erreur de lecture. En SYSTEM, la lecture arbitraire donne accès à la base SAM, aux secrets DPAPI, aux clés de la LSA, aux fichiers de configuration et aux certificats — tout ce qu’un attaquant transforme ensuite en mouvement latéral ou en exfiltration ciblée.
La gravité tient aussi au composant touché. Le Malware Protection Engine tourne avec les privilèges les plus élevés du système, précisément parce qu’il doit inspecter tout ce qui entre et sort. Une faille dans ce composant inverse la relation : au lieu de scruter les menaces, il devient le canal par lequel un attaquant déjà présent — même avec un simple compte utilisateur — atteint le sommet de la machine.
Enfin, le correctif est invisible. Contrairement à un Patch Tuesday qu’on planifie, la mise à jour du moteur antimalware arrive par le canal de mise à jour automatique. Le risque n’est pas qu’elle manque à l’appel, c’est qu’on croie la machine protégée alors que la version installée est précisément celle que ShieldCrash contourne.
Un chercheur, une série de PoC, un message
ShieldCrash n’est pas un cas isolé. Ces dernières semaines, Chaotic Eclipse a publié des PoC pour quatre autres produits de sécurité : CrowdStrike Falcon (FalconFlank), Kaspersky (HardBreacher), Avast Antivirus (PrettyPrague) et NVIDIA (GreenSection). HardBreacher et PrettyPrague ont depuis été corrigés par leurs éditeurs ; CrowdStrike a indiqué enquêter sur le signalement.
Cette séquence raconte une vérité que les équipes sécurité répugnent à admettre : l’EDR est lui-même une surface d’attaque. Les agents de sécurité sont des logiciels privilégiés, déployés sur des milliers de postes, mis à jour en continu et rarement audités par le client — ils cumulent exactement les propriétés qui attirent les chercheurs et les attaquants. Le fait qu’un seul chercheur trouve des contournements chez plusieurs éditeurs majeurs suggère moins un génie isolé qu’un déficit structurel de revue sur ces composants.
Ce qu’il faut mettre en place
Quatre actions, par ordre de priorité :
- Vérifiez la version du Malware Protection Engine. La version corrigée est 1.1.26080.3. Mais attention : ShieldCrash contourne précisément cette version — la présence de 1.1.26080.3 ne suffit donc pas à conclure que le poste est protégé. Consignez la version déployée pour pouvoir la comparer à la prochaine mise à jour du moteur.
- Surveillez la publication d’un nouveau correctif. Un bypass avéré déclenche en général un nouveau correctif Microsoft dans les jours qui suivent. Ajoutez cette CVE à votre veille et traitez la prochaine version du moteur comme prioritaire.
- Traitez Defender comme un composant surveillé. Ajoutez l’agent de sécurité à l’inventaire des logiciels sensibles, au même titre qu’un serveur DNS ou un contrôleur de domaine. Un poste « protégé par l’EDR » ne dispense pas de surveiller l’EDR.
- Ne désactivez pas Defender pour éliminer la faille. Le bypass n’affecte pas les systèmes où Defender est désactivé, mais désactiver l’antivirus pour fuir une lecture de fichier revient à éteindre l’alarme incendie parce que son câblage est défectueux. Si vous devez compenser, levez des contrôles de détection sur les lectures suspectes de SAM et de DPAPI.
Ajoutez un contrôle qui compare la version du moteur déployée sur le parc à la dernière version publiée par Microsoft. La pire configuration n’est pas le poste non protégé qu’on connaît, c’est celui dont on croit l’EDR à jour alors qu’il ne l’est plus.
Verdict
Si vous gérez un parc Windows avec Microsoft Defender, traitez ShieldCrash comme un signal de vigilance immédiate, pas comme une urgence de patch de masse : c’est un PoC de recherche, pas une exploitation constatée, mais il prouve que le correctif en place est incomplet. Surveillez activement la prochaine mise à jour du Malware Protection Engine et soyez prêt à la déployer dès qu’elle sort. Si votre équipe a un programme de bug bounty ou une veille EDR, c’est le moment de la faire monter d’un cran : la série de PoC de Chaotic Eclipse montre que les éditeurs de sécurité répondent au coup par coup, et que le client qui tient l’inventaire de ses agents reste le dernier rempart cohérent.