Des chercheurs en sécurité ont dévoilé une nouvelle famille d’attaques baptisée Plug and Pwn, capable d’exploiter le mécanisme Plug and Play de Windows pour installer automatiquement des composants vulnérables et obtenir les privilèges SYSTEM.

L’attaque repose sur un principe particulièrement intéressant : au lieu d’exploiter directement Windows, les chercheurs émulent de faux périphériques USB afin de pousser le système à télécharger et installer des logiciels ou pilotes de constructeurs pourtant signés et légitimes. Certains de ces composants contiennent ensuite des faiblesses permettant une élévation de privilèges.

Présentée lors de la DEF CON 34 par les chercheurs Alejandro Hernando et Borja Martínez, cette technique peut, dans certains scénarios, fonctionner sans clic, sans utilisateur connecté et même à distance via le protocole RDP.

Plug and Play, un mécanisme pratique qui travaille avec des privilèges élevés

Lorsqu’un périphérique USB est connecté à un PC, Windows tente automatiquement de l’identifier.

Le système recherche ensuite un pilote adapté et peut également télécharger depuis Windows Update des composants supplémentaires fournis par le constructeur.

Cette installation peut inclure :

• des pilotes ;
• des services ;
• des programmes d’assistance ;
• des exécutables ;
• des « co-installers » utilisés par certains fabricants.

Le problème est que cette procédure s’exécute avec les privilèges NT AUTHORITY\SYSTEM, c’est-à-dire avec des droits supérieurs à ceux d’un administrateur classique, sans nécessairement afficher de demande UAC.

Les chercheurs se sont donc demandé ce qui se passerait s’il était possible de contrôler précisément l’identité du périphérique que Windows pense avoir détecté.

Un faux périphérique USB peut tromper Windows

Pour leurs démonstrations, les chercheurs ont utilisé le framework FaceDancer associé à du matériel comme Cynthion et GreatFET.

FaceDancer permet d’émuler un périphérique USB et de définir artificiellement ses caractéristiques : identifiant matériel, classe de périphérique, interfaces ou encore points de terminaison.

Du point de vue de Windows, le périphérique émulé ressemble alors à un véritable appareil connecté au port USB. Le système tente donc de rechercher le pilote et les logiciels associés comme s’il s’agissait du matériel original.

Les chercheurs peuvent même modifier l’identité du périphérique en cours d’attaque, en le faisant disparaître puis réapparaître comme un autre matériel.

Cette possibilité leur permet de chaîner plusieurs composants vulnérables provenant de fabricants différents.

Une attaque sans clic sur un Windows 11 entièrement à jour

La démonstration la plus impressionnante combine des composants liés à Sierra Wireless et Sony FeliCa.

Dans un premier temps, le faux périphérique se présente comme un appareil Sierra Wireless. Windows installe alors automatiquement le logiciel correspondant.

Les chercheurs exploitent une faiblesse de ce composant pour modifier les paramètres DNS de la machine.

Le périphérique change ensuite d’identité pour se faire passer pour un appareil Sony FeliCa.

Windows télécharge alors un autre logiciel constructeur. Celui-ci récupère certains fichiers via une connexion non chiffrée.

Comme les attaquants ont auparavant pris le contrôle de la résolution DNS, ils peuvent rediriger ces téléchargements vers leur propre serveur et faire déposer un fichier malveillant avec les privilèges SYSTEM.

Enfin, le périphérique se présente de nouveau comme l’appareil Sierra Wireless afin de provoquer le chargement du fichier malveillant.

Le résultat est l’ouverture d’un reverse shell avec les privilèges SYSTEM.

D’après les chercheurs, cette chaîne d’attaque fonctionne contre un Windows 11 entièrement mis à jour, sans utilisateur connecté, et nécessite environ cinq minutes.

Pas besoin d’une clé USB classique

Il ne faut pas imaginer cette attaque comme une simple clé USB malveillante du type BadUSB.

Les chercheurs ont besoin de pouvoir émuler précisément différents périphériques USB et leurs identifiants matériels.

Le matériel utilisé pour leurs démonstrations est néanmoins suffisamment compact pour être transporté facilement. Selon Alejandro Hernando, un Raspberry Pi configuré en mode USB Gadget pourrait théoriquement également être utilisé pour ce type d’attaque.

En revanche, le Flipper Zero ne permet pas actuellement d’exécuter directement cette technique, car son mode BadUSB est principalement destiné à l’émulation de périphériques HID comme un clavier et ne dispose pas du support nécessaire pour FaceDancer.

NoPlug & Pwn : l’attaque peut aussi fonctionner à distance via RDP

Encore plus surprenant, les chercheurs ont développé une variante baptisée NoPlug & Pwn, qui ne nécessite même plus de périphérique USB physiquement connecté au PC ciblé.

Cette technique exploite la redirection des périphériques USB via le Bureau à distance (RDP).

Cette fonction permet normalement à un périphérique branché sur le PC local d’être rendu disponible à l’intérieur d’une session distante.

Les chercheurs ont créé un client RDP capable d’envoyer directement de faux descripteurs USB.

Le serveur Windows distant croit alors qu’un véritable périphérique vient d’être connecté et déclenche le mécanisme Plug and Play habituel.

Dans leur démonstration, ils ont émulé une caméra Intel RealSense.

Windows Update récupère le package associé, qui contient un co-installer vulnérable à un détournement de DLL. Les chercheurs exploitent ensuite cette faiblesse pour obtenir les privilèges SYSTEM sur la machine distante.

Cette variante nécessite toutefois que la redirection USB via RDP soit activée. Elle pourrait notamment concerner certains environnements de bureaux virtuels où cette fonctionnalité est couramment utilisée.

Ce n’est pas une nouvelle idée, mais l’attaque va beaucoup plus loin

Le principe rappelle une vulnérabilité médiatisée en 2021 avec Razer Synapse.

À l’époque, le simple branchement d’une souris ou d’un clavier Razer pouvait pousser Windows à télécharger automatiquement l’installateur Synapse avec les privilèges SYSTEM.

Une faiblesse de cet installateur permettait alors de lancer PowerShell depuis l’interface d’installation et d’hériter des mêmes privilèges élevés.

Les chercheurs à l’origine de Plug and Pwn expliquent toutefois avoir adopté une approche plus générale.

Plutôt que de cibler uniquement la vulnérabilité d’un installateur particulier, ils se sont intéressés à toute la chaîne d’installation automatique des périphériques Windows.

Le problème devient alors beaucoup plus large : Windows peut automatiquement installer des composants de nombreux constructeurs différents, et il suffit qu’un de ces éléments comporte une faiblesse exploitable pour qu’il puisse entrer dans une chaîne d’attaque.

Pourquoi des pilotes signés peuvent-ils être dangereux ?

Un pilote ou un logiciel signé n’est pas nécessairement exempt de vulnérabilités.

La signature permet principalement de vérifier l’origine du fichier et de s’assurer qu’il n’a pas été modifié depuis sa publication.

Elle ne garantit pas que son code est parfaitement sécurisé.

Plug and Pwn exploite précisément cette différence : Windows fait confiance à des packages légitimes et signés, mais certains de leurs composants peuvent contenir des vulnérabilités anciennes ou des comportements dangereux.

Les attaquants ne cherchent donc pas nécessairement à faire installer un pilote malveillant inconnu.

Ils poussent Windows à installer des logiciels légitimes mais vulnérables, puis exploitent ces vulnérabilités pour obtenir davantage de privilèges.

A lire :

Désactiver les co-installers peut limiter certaines attaques

Une première mesure de protection consiste à désactiver l’exécution des co-installers lors de l’installation des périphériques.

Cela peut être réalisé avec la valeur de Registre :

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Device Installer

puis en créant une valeur DWORD :

DisableCoInstallers = 1

D’après les chercheurs, cette configuration bloque certaines des chaînes d’attaque présentées, notamment celles exploitant Sony FeliCa ou Intel RealSense.

Cette mesure ne supprime toutefois pas complètement la surface d’attaque.

Windows continue notamment :

• d’énumérer les périphériques Plug and Play ;
• de rechercher les pilotes dans Windows Update ;
• d’interpréter les fichiers INF ;
• d’installer certains services déclarés par ces fichiers.

Les entreprises peuvent durcir davantage l’installation des périphériques

Sur les postes sensibles, les chercheurs recommandent de combiner plusieurs protections.

Les administrateurs peuvent notamment :

• désactiver les co-installers ;
• appliquer des restrictions d’installation des périphériques ;
• autoriser uniquement certains identifiants matériels ;
• désactiver la redirection Plug and Play dans les environnements RDP ou VDI lorsqu’elle n’est pas nécessaire.

Cette dernière protection est particulièrement importante contre la variante NoPlug & Pwn.

La stratégie RDP correspondante peut notamment être contrôlée à travers le paramètre lié à fDisablePNPRedir.

Tous les scénarios ne sont pas considérés comme de nouvelles vulnérabilités

Les chercheurs n’ont pas signalé chacune de leurs chaînes d’exploitation comme une nouvelle faille indépendante auprès des différents constructeurs.

La raison est importante : Plug and Pwn repose souvent sur la combinaison de plusieurs comportements légitimes et de vulnérabilités existantes.

Une fonctionnalité prise isolément n’est donc pas nécessairement vulnérable.

C’est l’enchaînement qui devient dangereux : faux périphérique → détection Plug and Play → téléchargement automatique → installation avec les droits SYSTEM → exploitation d’un composant vulnérable

Cette approche illustre parfaitement la notion de chaîne d’exploitation, où plusieurs faiblesses relativement limitées permettent ensemble d’obtenir un résultat beaucoup plus grave.

Une attaque surtout préoccupante pour les environnements sensibles

Pour un particulier, Plug and Pwn reste une attaque relativement sophistiquée.

La version physique nécessite qu’un attaquant puisse connecter un dispositif spécialisé au PC, tandis que la variante distante dépend de la présence d’un accès RDP et de la redirection des périphériques.

Le risque est donc surtout important dans les entreprises, les infrastructures sensibles, les postes partagés et les environnements de bureaux virtuels.

Mais ces recherches mettent en évidence un problème plus général : le simple fait de brancher un périphérique peut déclencher l’exécution automatique de composants tiers avec des privilèges extrêmement élevés.

Cette confiance accordée au processus d’installation des pilotes constitue une surface d’attaque difficile à éliminer complètement.

Conclusion

Plug and Pwn ne repose pas sur une unique faille spectaculaire de Windows, mais sur l’exploitation d’un mécanisme profondément intégré au système : l’installation automatique des périphériques.

En imitant des appareils légitimes, les chercheurs ont réussi à pousser Windows 11 à télécharger des packages signés de constructeurs, puis à combiner leurs faiblesses pour obtenir les privilèges SYSTEM.

Le fait qu’une variante puisse également fonctionner à travers RDP sans connecter physiquement de périphérique montre que le problème dépasse largement la simple menace des clés USB inconnues.

Ces travaux rappellent surtout qu’un pilote signé ou un logiciel distribué par Windows Update n’est pas nécessairement sans risque. La sécurité dépend également de la qualité des composants fournis par les fabricants et de la façon dont Windows les installe avec des privilèges élevés.

Pour les environnements sensibles, restreindre l’installation des périphériques, désactiver les co-installers inutiles et limiter la redirection USB via RDP constituent donc des mesures de durcissement pertinentes.

L’article Plug and Pwn : de faux périphériques USB peuvent donner les droits SYSTEM sous Windows est apparu en premier sur malekal.com.

Une nouvelle vulnérabilité zero-day baptisée LegacyHive suscite l’attention de la communauté de la cybersécurité. Dévoilée quelques heures seulement après le Patch Tuesday de juillet 2026, cette faille affecte des versions entièrement à jour de Windows et permet à un utilisateur disposant de droits limités d’obtenir un accès privilégié au système.

Si Microsoft n’a pas encore publié de correctif ni attribué de numéro CVE, un micropatch gratuit est déjà proposé par la société ACROS Security via sa plateforme 0patch.

Qu’est-ce que LegacyHive ?

LegacyHive est une vulnérabilité d’élévation de privilèges locale (Local Privilege Escalation – LPE) qui cible le Windows User Profile Service (ProfSvc), le service chargé de créer, charger et gérer les profils des utilisateurs Windows.

Chaque compte Windows possède un ensemble de ruches du Registre (Registry Hives) contenant ses paramètres personnels, ses associations de fichiers, les préférences de l’Explorateur de fichiers ou encore la configuration de nombreuses applications.

La vulnérabilité permet à un utilisateur standard de charger la ruche de registre d’un autre utilisateur, y compris celle d’un administrateur, avec des droits de lecture et d’écriture. Un attaquant peut alors modifier certains paramètres afin que son propre code soit exécuté lors de la prochaine connexion de l’utilisateur ciblé.

Une exploitation plus complexe qu’il n’y paraît

Contrairement à certaines publications alarmistes, LegacyHive ne permet pas à un attaquant distant de prendre instantanément le contrôle d’un PC.

Pour exploiter cette vulnérabilité, plusieurs conditions doivent être réunies :

• disposer d’un accès local à la machine ;
• utiliser un compte Windows standard ;
• connaître les identifiants d’un autre utilisateur standard ;
• connaître le nom d’un troisième compte, qui peut être administrateur.

Le chercheur à l’origine de la découverte, connu sous le pseudonyme Nightmare Eclipse, indique d’ailleurs avoir volontairement diffusé une preuve de concept (PoC) volontairement limitée afin d’éviter une exploitation immédiate à grande échelle. La version originale serait nettement plus puissante.

Pourquoi cette faille reste préoccupante

Même si son exploitation nécessite déjà un accès au système, plusieurs chercheurs en sécurité estiment que LegacyHive constitue un excellent point de départ pour une chaîne d’attaque.

Une fois la ruche d’un administrateur modifiée, il devient possible de faire exécuter automatiquement un programme malveillant lors de sa prochaine ouverture de session, ce qui revient, dans les faits, à obtenir des privilèges administrateur.

Autrement dit, LegacyHive n’est pas un outil de compromission initiale, mais un outil d’escalade de privilèges, souvent utilisé après une première intrusion pour prendre le contrôle complet d’une machine.

Microsoft enquête, mais aucun correctif n’est encore disponible

Microsoft a confirmé être informé de la vulnérabilité et indique analyser actuellement son impact.

À ce jour :

• aucun numéro CVE n’a été attribué ;
• aucune mise à jour de sécurité n’est disponible ;
• aucun calendrier de correction n’a été annoncé.

Ce n’est pas la première fois que Nightmare Eclipse publie publiquement une faille zero-day avant qu’un correctif officiel soit disponible. Ces derniers mois, plusieurs vulnérabilités Windows divulguées par ce chercheur ont finalement été corrigées lors des Patch Tuesday de Microsoft.

Des micropatchs gratuits disponibles avec 0patch

En attendant une mise à jour officielle, ACROS Security a publié un micropatch gratuit via son service 0patch.

Contrairement aux correctifs traditionnels de Windows, un micropatch modifie uniquement quelques instructions mémoire au moment de l’exécution, sans remplacer de fichiers système et sans nécessiter de redémarrage.

Selon ACROS, ce correctif empêche LegacyHive de charger la ruche d’un autre utilisateur. L’exploitation continue de fonctionner, mais elle ne charge plus qu’un profil temporaire, ce qui rend l’attaque inutile.

Les micropatchs sont disponibles gratuitement pour :

• Windows 10 version 2004 et ultérieures ;
• Windows 11 ;
• Windows Server 2022 et versions plus récentes.

Faut-il s’inquiéter ?

Pour la majorité des particuliers, le risque reste relativement limité puisqu’un attaquant doit déjà disposer d’un accès local à l’ordinateur.

En revanche, dans les environnements professionnels ou les postes partagés, cette vulnérabilité peut représenter un risque plus important, notamment si elle est combinée avec une autre faille permettant d’obtenir un premier accès au système.

Comme souvent avec les vulnérabilités d’élévation de privilèges, LegacyHive prend toute son importance lorsqu’elle est intégrée dans une chaîne d’exploitation plus complexe.

Conclusion

LegacyHive illustre une nouvelle fois l’intérêt des attaques combinant plusieurs vulnérabilités. Si cette zero-day ne permet pas, à elle seule, de compromettre un ordinateur à distance, elle offre un moyen efficace d’obtenir des privilèges administrateur une fois une première intrusion réalisée.

En attendant le correctif officiel de Microsoft, les organisations souhaitant renforcer leur protection peuvent déployer gratuitement le micropatch proposé par 0patch ou limiter la création de comptes locaux inutiles et surveiller les activités anormales liées au service ProfSvc.

L’article LegacyHive : une nouvelle faille zero-day Windows permet d’obtenir des privilèges administrateur, un correctif non officiel est déjà disponible est apparu en premier sur malekal.com.

Microsoft estime que les futures mises à jour de sécurité de Windows contiendront un nombre croissant de correctifs grâce à l’utilisation de l’intelligence artificielle.

L’entreprise explique que l’IA lui permet désormais d’identifier des vulnérabilités plus tôt dans le cycle de développement, mais aussi d’accélérer leur analyse et la création des correctifs. Cette évolution s’inscrit dans un contexte où les cybercriminels utilisent eux aussi l’IA pour rechercher plus rapidement de nouvelles failles de sécurité.

Une course entre les attaquants et les défenseurs

L’intelligence artificielle transforme progressivement la cybersécurité.

Jusqu’à récemment, la découverte de vulnérabilités reposait essentiellement sur des chercheurs en sécurité, des équipes d’audit et des programmes de bug bounty. Désormais, les modèles d’IA sont capables d’analyser de très grandes quantités de code et d’identifier des schémas susceptibles de révéler des erreurs de programmation ou des vulnérabilités.

Le problème est que cette évolution profite aussi bien aux défenseurs qu’aux attaquants.

Les cybercriminels peuvent utiliser l’IA pour accélérer la recherche de nouvelles failles, tandis que les éditeurs de logiciels, comme Microsoft, s’appuient sur ces mêmes technologies pour les détecter et les corriger avant qu’elles ne soient exploitées.

Microsoft s’attend à publier davantage de correctifs

Microsoft indique que cette évolution aura une conséquence directe sur les futures mises à jour de sécurité de Windows.

L’entreprise prévoit d’intégrer un plus grand nombre de correctifs dans les Patch Tuesday, simplement parce que davantage de vulnérabilités seront découvertes grâce à l’IA.

Il ne s’agit donc pas nécessairement d’une baisse de la qualité du code de Windows, mais d’une capacité accrue à détecter des problèmes qui seraient auparavant passés inaperçus.

Selon Microsoft, les outils d’IA permettent notamment :

• d’identifier plus rapidement des vulnérabilités potentielles ;
• d’analyser automatiquement certaines portions de code ;
• de proposer des correctifs ;
• de valider les modifications avant leur intégration.

L’entreprise précise toutefois que les décisions finales restent prises par des ingénieurs, qui continuent de relire et de valider les correctifs avant leur publication.

MDASH analyse les composants critiques de Windows avec plusieurs modèles d’IA

Pour rechercher plus efficacement les vulnérabilités dans Windows, Microsoft utilise un système baptisé MDASH, pour Multi-model Agentic Scanning Harness.

Cet outil de découverte de failles repose sur plusieurs modèles d’intelligence artificielle qui travaillent ensemble afin d’analyser les composants et fichiers binaires critiques de Windows. Plutôt que de confier l’examen du code à un seul modèle, Microsoft utilise une approche multimodale destinée à confronter les résultats et à améliorer leur fiabilité.

Le processus fonctionne en plusieurs étapes :

• les composants critiques de Windows sont analysés à la recherche de comportements potentiellement vulnérables ;
• plusieurs modèles d’IA examinent et comparent les résultats ;
• les signalements peu fiables ou les faux positifs sont éliminés ;
• les vulnérabilités jugées suffisamment crédibles passent dans un second processus de validation spécialement conçu pour Windows ;
• les résultats les plus sérieux sont ensuite transmis aux ingénieurs Microsoft pour une analyse humaine.

Cette succession de contrôles est importante, car les outils automatisés peuvent détecter de nombreuses anomalies qui ne correspondent pas nécessairement à de véritables failles exploitables.

MDASH ne remplace donc pas les chercheurs et les ingénieurs en sécurité. Il agit plutôt comme un système de présélection capable d’examiner rapidement de grandes quantités de code et de faire remonter les candidats les plus intéressants.

Selon Microsoft, les progrès de l’IA accélèrent à la fois la découverte et l’analyse des vulnérabilités. Des problèmes qui auraient autrefois demandé de longues recherches manuelles peuvent désormais être repérés plus tôt et dans un volume de code beaucoup plus important.

Une évolution du cycle de développement sécurisé

Microsoft profite également de cette évolution pour adapter son Secure Development Lifecycle (SDL).

Le cycle de développement sécurisé prend désormais explicitement en compte les scénarios d’attaque rendus possibles par l’intelligence artificielle. L’objectif est d’anticiper les nouvelles méthodes utilisées pour découvrir ou exploiter des vulnérabilités.

En parallèle, Microsoft investit dans de nouveaux outils internes, notamment des systèmes d’IA spécialisés capables d’assister les développeurs dans la génération et la validation des correctifs de sécurité.

Une tendance déjà visible

Cette annonce n’est pas isolée.

Lors du Patch Tuesday de juin 2026, Microsoft avait déjà publié un nombre record de correctifs de sécurité. L’entreprise reconnaît désormais que l’utilisation de l’intelligence artificielle contribue à cette augmentation du nombre de vulnérabilités détectées.

Cette tendance devrait se poursuivre dans les prochains mois, à mesure que les outils d’analyse automatisée gagneront en efficacité.

Un sujet déjà abordé sur Malekal

Cette annonce confirme une tendance que nous avions déjà évoquée : l’intelligence artificielle accélère la découverte des vulnérabilités, aussi bien du côté des chercheurs en sécurité que des cybercriminels.

L’augmentation du nombre de failles découvertes ne signifie donc pas forcément que Windows devient moins sûr. Elle traduit également une meilleure capacité à détecter des erreurs qui auraient auparavant pu rester invisibles pendant plusieurs années.

Pour approfondir le sujet, consultez également notre dossier :

Conclusion

L’intelligence artificielle est en train de transformer la cybersécurité. Les attaquants disposent de nouveaux outils pour rechercher des vulnérabilités, mais les éditeurs de logiciels bénéficient eux aussi de ces progrès pour renforcer la sécurité de leurs produits.

Microsoft s’attend ainsi à publier davantage de correctifs dans les futures mises à jour de Windows. Si cette évolution peut donner l’impression que davantage de failles sont découvertes, elle reflète surtout une amélioration des capacités de détection et une adaptation du développement de Windows aux nouveaux défis posés par l’IA.

L’article Microsoft : l’IA va permettre de découvrir davantage de failles de sécurité dans Windows est apparu en premier sur malekal.com.

Microsoft a publié un correctif pour une nouvelle vulnérabilité zero-day baptisée RoguePlanet (CVE-2026-50656), affectant Microsoft Defender.

Cette faille permettait à un attaquant disposant déjà d’un accès limité à une machine Windows d’obtenir des privilèges élevés sur le système. Elle a été découverte par les chercheurs en sécurité de SafeBreach Labs, qui l’ont signalée de manière responsable à Microsoft.

L’entreprise a intégré le correctif directement dans les mises à jour de la plateforme Microsoft Defender, sans nécessiter l’installation d’une mise à jour Windows spécifique.

Qu’est-ce que RoguePlanet ?

RoguePlanet est le nom donné à une vulnérabilité permettant une élévation de privilèges (Elevation of Privilege).

Concrètement, un utilisateur ou un logiciel malveillant disposant déjà d’un accès limité au système pouvait exploiter cette faille afin d’exécuter du code avec des privilèges beaucoup plus élevés.

Cette technique peut notamment être utilisée pour :

• Désactiver certaines protections de sécurité.
• Installer des logiciels malveillants persistants.
• Accéder à des fichiers normalement protégés.
• Compromettre complètement un ordinateur.

La faille ne permet cependant pas une compromission à distance. Un attaquant doit déjà avoir obtenu un accès au PC pour pouvoir l’exploiter.

A lire :

Une vulnérabilité dans Microsoft Defender

Contrairement à ce que l’on pourrait penser, la vulnérabilité ne concerne pas directement le moteur d’analyse antivirus.

Elle touche un composant de Microsoft Defender chargé de certaines opérations système exécutées avec des privilèges élevés.

Les chercheurs de SafeBreach ont montré qu’il était possible d’exploiter ce comportement afin d’obtenir une élévation de privilèges.

Microsoft indique n’avoir observé aucune exploitation active de cette faille avant la publication du correctif.

Quelle version corrige RoguePlanet ?

Microsoft a corrigé la vulnérabilité RoguePlanet avec la version 1.1.26060.3008 du moteur du moteur (Microsoft Malware Protection Engine).

Ce composant est le moteur d’analyse utilisé par Microsoft Defender et par plusieurs solutions de sécurité Microsoft. Il est mis à jour automatiquement via les mises à jour de sécurité de Defender, indépendamment des mises à jour cumulatives de Windows.

Les utilisateurs doivent donc vérifier que leur moteur de protection Microsoft Defender est au moins en version 1.1.26060.3008 afin de bénéficier du correctif.

Pour vérifier la version installée :

• Ouvrez Sécurité Windows.
• Cliquez sur Paramètres en bas à gauche.
• Cliquez sur A propos.
• Vérifiez la version du moteur de sécurité.

Si la mise à jour n’est pas encore installée, lancez une recherche de mises à jour de protection depuis cette même page.

Microsoft poursuit le renforcement de Windows

Cette correction intervient quelques semaines après plusieurs autres annonces de sécurité importantes :

• La correction des zero-day YellowKey, GreenPlasma et MiniPlasma.
• Les améliorations de Secure Boot 2023.
• Le renforcement de la qualité des pilotes avec la Driver Quality Initiative (DQI).

Microsoft poursuit ainsi sa stratégie consistant à renforcer progressivement les différents composants de sécurité de Windows 11.

Conclusion

Même si RoguePlanet nécessite déjà un accès au système pour être exploitée, cette faille montre qu’une élévation de privilèges reste une étape importante dans une chaîne d’attaque. Grâce au signalement responsable de SafeBreach Labs, Microsoft a pu corriger la vulnérabilité avant qu’elle ne soit exploitée à grande échelle.

Les utilisateurs de Microsoft Defender ont donc intérêt à vérifier que leur plateforme de sécurité est bien à jour afin de bénéficier automatiquement de cette protection.

L’article Microsoft corrige la faille zero-day RoguePlanet dans Microsoft Defender est apparu en premier sur malekal.com.

Un chercheur en sécurité connu sous les pseudonymes Chaotic Eclipse et Nightmare Eclipse a publié un nouveau zero-day baptisé RoguePlanet, affectant Microsoft Defender sur Windows 10 et Windows 11.

Selon les premières analyses, cette vulnérabilité permet à un attaquant d’obtenir les privilèges SYSTEM, le niveau de privilège le plus élevé sous Windows, même sur des systèmes entièrement à jour après le Patch Tuesday de juin 2026.

Cette divulgation intervient seulement quelques semaines après plusieurs autres zero-day visant Microsoft Defender, dont BlueHammer, RedSun et UnDefend.

RoguePlanet exploite une faiblesse dans Microsoft Defender

Le chercheur explique que RoguePlanet repose sur une condition de course (race condition) impliquant le fonctionnement interne de Microsoft Defender.

L’exploit abuse du comportement de Defender lorsqu’il détecte et traite certains fichiers considérés comme malveillants. En combinant plusieurs mécanismes Windows, notamment les clichés instantanés de volume (Volume Shadow Copy), l’attaquant peut parvenir à remplacer un fichier système puis exécuter du code avec les privilèges SYSTEM.

Lorsque l’attaque réussit, une invite de commandes est lancée avec les privilèges les plus élevés du système.

Le chercheur indique toutefois que l’exploit n’est pas totalement fiable et que son taux de réussite varie selon les configurations matérielles et logicielles.

Des systèmes entièrement à jour seraient concernés

L’un des aspects les plus préoccupants est que RoguePlanet aurait été testé avec succès sur :

• Windows 11 24H2
• Versions Canary de Windows 11
• Windows 10
• Systèmes ayant installé les mises à jour de sécurité de juin 2026

Autrement dit, l’installation des derniers correctifs Windows ne protège actuellement pas contre cette vulnérabilité.

Des sociétés de cybersécurité ont également confirmé avoir reproduit l’exploit sur leurs propres environnements de test.

Pourquoi cette faille est particulièrement dangereuse

Contrairement à une vulnérabilité permettant une infection à distance, RoguePlanet nécessite déjà un accès local à la machine.

Cependant, ce type de faille est très recherché par les cybercriminels car il permet de transformer un accès utilisateur limité en contrôle total du système.

Avec des privilèges SYSTEM, un attaquant peut notamment :

• Désactiver certains mécanismes de sécurité
• Installer des logiciels malveillants persistants
• Accéder à des données sensibles
• Modifier des fichiers système
• Créer de nouveaux comptes administrateurs

Dans une chaîne d’attaque, ce type de vulnérabilité est souvent utilisé après une compromission initiale afin de prendre le contrôle complet d’un poste Windows.

Une nouvelle attaque dans la série des zero-day Defender

RoguePlanet s’inscrit dans une série de vulnérabilités publiées ces derniers mois par le même chercheur.

Parmi les plus connues :

• BlueHammer
• RedSun
• UnDefend
• YellowKey
• GreenPlasma
• MiniPlasma

Microsoft a corrigé certaines de ces vulnérabilités lors des précédents Patch Tuesday, mais plusieurs failles publiées par le chercheur ont été rendues publiques avant qu’un correctif officiel ne soit disponible.

Cette situation s’inscrit dans un contexte de tensions entre le chercheur et Microsoft concernant les procédures de divulgation des vulnérabilités.

Les acutalités du site qui en parlent :

Existe-t-il un correctif ?

À l’heure actuelle, Microsoft n’a pas publié de correctif spécifique pour RoguePlanet.

Les utilisateurs doivent néanmoins continuer à installer les mises à jour de sécurité mensuelles afin de bénéficier des correctifs publiés pour les autres vulnérabilités découvertes récemment.

Dans les environnements professionnels, l’utilisation de mécanismes de contrôle d’applications, de restriction d’exécution et de segmentation des privilèges peut également limiter l’impact potentiel d’une telle faille.

A lire :

Conclusion

La publication de RoguePlanet montre que Microsoft Defender reste une cible privilégiée des chercheurs en sécurité et des attaquants. Même si cette vulnérabilité nécessite déjà un accès local au système, elle permet potentiellement d’obtenir les privilèges SYSTEM sur des machines Windows entièrement à jour.

En attendant une éventuelle correction par Microsoft, il est recommandé d’appliquer les bonnes pratiques de sécurité habituelles : limiter les droits des utilisateurs, maintenir Windows à jour et surveiller les activités suspectes sur les postes de travail.

L’article RoguePlanet : un nouveau zero-day Microsoft Defender permet d’obtenir les privilèges SYSTEM sur Windows est apparu en premier sur malekal.com.

Microsoft alerte sur l’exploitation active de CVE-2026-41089, une vulnérabilité critique affectant le service Windows Netlogon. Cette faille permet à un attaquant non authentifié d’exécuter du code à distance sur un contrôleur de domaine Windows simplement en envoyant une requête réseau spécialement conçue.

Avec un score CVSS de 9.8/10, cette vulnérabilité est actuellement considérée comme l’une des plus dangereuses du Patch Tuesday de mai 2026.

CVE-2026-41089 touche directement le service Netlogon

Netlogon est un composant fondamental des environnements Active Directory.

Ce service est utilisé pour :

• l’authentification des utilisateurs
• la communication entre contrôleurs de domaine
• la gestion des relations de confiance
• les opérations de sécurité du domaine Windows

Microsoft décrit la faille comme un stack-based buffer overflow dans Windows Netlogon.

Le scénario d’attaque est particulièrement préoccupant :

« Un pirate pourrait envoyer une requête réseau spécialement conçue à un serveur Windows faisant office de contrôleur de domaine. »

Microsoft précise que si l’attaque réussit :

« Cela pourrait amener le service Netlogon à traiter la requête de manière incorrecte, ce qui permettrait potentiellement à un attaquant d’exécuter du code sur le système concerné avec des privilèges SYSTEM. »

Autrement dit, un attaquant peut potentiellement obtenir l’exécution de code à distance avec les privilèges SYSTEM sur un contrôleur de domaine.

Aucun compte ni interaction utilisateur nécessaire

L’un des aspects les plus critiques de CVE-2026-41089 est qu’elle ne nécessite :

• aucune authentification
• aucun compte utilisateur
• aucune interaction de la victime

Selon Microsoft et plusieurs analyses sécurité, une simple requête réseau spécialement construite suffit pour déclencher la vulnérabilité.

Le problème affecte le protocole MS-NRPC (Netlogon Remote Protocol) utilisé par les contrôleurs de domaine Active Directory.

Techniquement, une erreur de validation dans le traitement de certaines requêtes provoque un débordement de pile (stack buffer overflow), permettant potentiellement l’exécution de code arbitraire.

Une faille potentiellement « wormable »

Plusieurs chercheurs sécurité soulignent un point particulièrement inquiétant : la vulnérabilité présente plusieurs caractéristiques des failles dites « wormables ».

Une fois exploitée sur un contrôleur de domaine compromis, elle pourrait théoriquement être utilisée pour :

• compromettre l’ensemble du domaine Active Directory
• déployer des malwares à grande échelle
• propager des attaques latéralement
• distribuer des ransomwares

La Zero Day Initiative résume la situation de manière assez directe : « Un contrôleur de domaine compromis équivaut à un domaine compromis. »

Le même rapport souligne également que la faille ne nécessite ni identifiants ni accès préalable et la qualifie de vulnérabilité nécessitant un correctif immédiat.

Des attaques déjà observées

Selon BleepingComputer, Microsoft confirme désormais que CVE-2026-41089 est activement exploitée dans des attaques.

La firme n’a pas encore communiqué :

• le nombre d’attaques observées
• les groupes impliqués
• ni les secteurs visés

Mais le passage au statut « exploited in attacks » augmente fortement la priorité de déploiement du correctif dans les environnements Active Directory.

Quels systèmes sont concernés ?

La vulnérabilité touche principalement les systèmes Windows Server utilisés comme contrôleurs de domaine.

Les analyses publiques mentionnent notamment :

• Windows Server 2019
• Windows Server 2022
• d’autres versions Windows Server supportant Netlogon et Active Directory

Les postes clients Windows classiques sont beaucoup moins exposés, sauf dans certains scénarios spécifiques liés à l’infrastructure Active Directory.

Le correctif est déjà disponible

Microsoft a corrigé CVE-2026-41089 dans le cadre du Patch Tuesday de mai 2026.

Les administrateurs doivent :

• installer les dernières mises à jour de sécurité Windows Server
• vérifier les contrôleurs de domaine exposés
• surveiller les journaux Netlogon
• accélérer le déploiement des correctifs sur les infrastructures Active Directory

Compte tenu du niveau de criticité de la faille et de l’exploitation déjà observée, cette mise à jour fait partie des correctifs prioritaires du mois.

Pourquoi cette faille est particulièrement dangereuse

Les vulnérabilités touchant directement Active Directory restent parmi les plus sensibles de l’écosystème Windows.

Contrairement à une faille locale classique, CVE-2026-41089 vise un composant central de l’infrastructure d’entreprise.

Une compromission réussie d’un contrôleur de domaine peut permettre :

• l’accès aux comptes du domaine
• la modification des politiques de sécurité
• le déploiement de logiciels malveillants
• la prise de contrôle complète de l’environnement Active Directory

C’est précisément pour cette raison que les chercheurs sécurité considèrent cette vulnérabilité comme l’une des plus importantes du Patch Tuesday de mai 2026.

L’article une faille critique Netlogon permet l’exécution de code à distance sur les contrôleurs de domaine Windows est apparu en premier sur malekal.com.

Ces dernières semaines, les actualités sécurité autour de Windows se sont enchaînées à un rythme inhabituel :

• plusieurs zero-days Microsoft Defender
• YellowKey contre BitLocker
• MiniPlasma donnant les privilèges SYSTEM
• des vulnérabilités WinRE et Secure Boot
• des PoC publiés publiquement quelques heures après disclosure

Simple impression ou véritable changement dans la cybersécurité ?

De plus en plus de chercheurs, mainteneurs Linux et entreprises sécurité estiment que l’intelligence artificielle est en train de transformer profondément la découverte de vulnérabilités logicielles.

Mais contrairement à certains discours alarmistes sur les réseaux sociaux, la réalité est plus nuancée.

Google a déjà trouvé de vraies vulnérabilités avec une IA

Le cas le plus connu est probablement Big Sleep, un projet développé par Google DeepMind et Google Project Zero.

En novembre 2024, Google annonçait que son agent IA avait découvert une véritable vulnérabilité exploitable dans SQLite, un moteur de base de données extrêmement utilisé dans le monde entier. Google présentait alors cette découverte comme la première “real-world vulnerability” trouvée par un agent IA.

Le bug concernait un stack buffer underflow exploitable dans SQLite et a été corrigé avant même d’arriver dans une version publique du logiciel.

Google affirme depuis que Big Sleep continue de découvrir d’autres vulnérabilités critiques dans des logiciels open source.

Cela marque un tournant important :

• l’IA ne sert plus uniquement à analyser du texte
• elle commence réellement à participer à la recherche offensive et défensive de vulnérabilités

Linus Torvalds parle d’un “boxon” sur les listes sécurité Linux

Le phénomène est devenu tellement visible que Linus Torvalds lui-même a récemment critiqué l’explosion des rapports de bugs générés avec l’aide d’IA sur les mailing lists sécurité du noyau Linux.

Selon le créateur de Linux, “the continued flood of AI reports has basically made the security list almost entirely unmanageable”.

Le problème ne vient pas uniquement des vulnérabilités réelles découvertes, mais aussi :

• des doublons massifs
• des faux positifs
• des rapports générés automatiquement
• de chercheurs utilisant les mêmes modèles IA pour scanner le même code

Résultat :

• plusieurs personnes soumettent les mêmes bugs
• les mainteneurs passent énormément de temps à trier
• certaines listes sécurité deviennent difficiles à gérer

Linus Torvalds précise d’ailleurs qu’il ne rejette pas l’IA elle-même, mais plutôt son utilisation “sans compréhension technique réelle” par certains chercheurs.

Les modèles IA deviennent très bons pour analyser du code

Ce qui change surtout depuis 2024-2026, c’est la vitesse.

Les nouveaux modèles sont capables :

• d’analyser de très grandes bases de code
• de suivre des flux d’exécution complexes
• d’identifier des patterns dangereux
• de repérer des erreurs mémoire
• d’automatiser certaines recherches de vulnérabilités

Plusieurs travaux académiques récents montrent des résultats impressionnants.

Par exemple :

• DrvHorn a détecté 545 bugs dans des drivers Linux, dont 424 inconnus auparavant
• FuzzingBrain V2 affirme avoir trouvé 29 zero-days dans 12 projets open source
• certains frameworks IA atteignent désormais plus de 90 % de détection sur certains benchmarks sécurité

Même OpenAI o3 a récemment été utilisé par un chercheur pour identifier une vulnérabilité Linux SMB critique dans le noyau Linux.

Mais attention aux discours catastrophistes

Pour autant, il faut rester prudent.

Rien ne prouve aujourd’hui que les récents zero-days Windows :

• YellowKey
• MiniPlasma
• ou les failles Microsoft Defender

aient été directement découverts par IA.

Les chercheurs derrière ces vulnérabilités n’ont pas indiqué avoir utilisé des modèles IA pour les trouver.

De plus, l’explosion apparente des vulnérabilités provient aussi :

• d’une médiatisation plus forte
• de la publication rapide des PoC
• d’une meilleure industrialisation du fuzzing
• et d’outils automatiques de recherche déjà très avancés depuis plusieurs années

Autre point important : l’IA génère énormément de bruit.

Une étude récente sur les faux positifs dans le noyau Linux montre que les rapports erronés coûtent énormément de temps aux mainteneurs et deviennent un vrai problème opérationnel.

Autrement dit :

• l’IA trouve davantage de bugs
• mais elle produit aussi davantage de mauvais signal

La vraie révolution : l’industrialisation de la recherche de vulnérabilités

Le changement majeur semble surtout être l’industrialisation de la recherche de vulnérabilités.

Avant :

• trouver un bug complexe demandait souvent des semaines
• voire des mois d’analyse humaine

Aujourd’hui :

• des modèles IA peuvent scanner du code 24h/24
• comparer automatiquement des patterns
• générer des hypothèses
• accélérer le tri des vulnérabilités potentielles

Cela réduit fortement le coût et le temps nécessaires pour découvrir certains bugs.

Pour les éditeurs comme Microsoft, Google ou les mainteneurs Linux, cela signifie probablement :

• davantage de vulnérabilités découvertes
• davantage de Patch Tuesday
• davantage de pression sur les équipes sécurité
• et des cycles de correction potentiellement plus courts

La cybersécurité entre progressivement dans une phase où l’IA ne remplace pas encore les chercheurs humains… mais augmente considérablement leur capacité de recherche.

L’article L’IA accélère-t-elle la découverte des vulnérabilités et zero-days Windows ? est apparu en premier sur malekal.com.