ConnexionWindows : des failles zero-day Microsoft Defender exposées, déjà exploitées dans des attaques
Plusieurs vulnérabilités zero-day affectant Windows et Microsoft Defender suscitent une forte inquiétude dans la communauté sécurité.
Après la publication de preuves de concept (PoC) pour certaines failles, Microsoft confirme que certaines d’entre elles sont désormais activement exploitées par des attaquants.
Des zero-day publiées avec code d’exploitation
À l’origine de cette situation, un chercheur en sécurité connu sous le pseudonyme “Chaotic Eclipse” a publié plusieurs exploits fonctionnels.
Jeudi 16 avril 2026, les chercheurs en sécurité de Huntress Labs ont signalé avoir constaté que ces trois failles « zero-day » étaient exploitées dans la nature, la vulnérabilité BlueHammer faisant l’objet d’attaques depuis le 10 avril.
Parmi eux :
- RedSun
- BlueHammer
- UnDefend
Ces vulnérabilités ciblent principalement Microsoft Defender et certains composants internes de Windows.
Particularité inquiétante : du code d’exploitation complet est disponible publiquement, ce qui facilite leur utilisation par des cybercriminels.
RedSun et BlueHammer : élévation de privilèges vers SYSTEM
Les failles RedSun et BlueHammer permettent une élévation de privilèges locale (LPE).
Concrètement, un attaquant peut :
- partir d’un accès limité (utilisateur standard)
- exploiter une faiblesse dans Defender
- obtenir les privilèges NT AUTHORITY\SYSTEM
soit le niveau le plus élevé sur Windows.
Ce type de vulnérabilité est particulièrement critique, car il permet de :
- prendre le contrôle complet du système
- désactiver les protections de sécurité
- installer des malwares persistants
UnDefend : bloquer les mises à jour de Microsoft Defender
Une autre faille, baptisée UnDefend, permet de bloquer les mises à jour de Microsoft Defender.
Résultat :
- les signatures antivirus ne sont plus mises à jour
- le système devient vulnérable aux menaces récentes
Cette technique peut être utilisée en complément d’autres attaques pour maintenir un accès durable à un système compromis.
Des attaques déjà observées dans la nature
Le plus préoccupant est que certaines de ces vulnérabilités ne sont plus seulement théoriques.
Des acteurs malveillants exploitent déjà ces failles dans des attaques réelles, notamment pour :
- obtenir des privilèges élevés
- contourner les protections Windows
- préparer des attaques plus larges (ex : ransomware)
Une situation classique avec les zero-day : dès qu’un exploit public apparaît, son exploitation peut suivre très rapidement.
Un contexte tendu entre chercheurs et Microsoft
La publication de ces exploits n’a pas suivi le processus classique de divulgation responsable.
Le chercheur à l’origine des PoC aurait publié ces failles en réaction à des désaccords avec le Microsoft Security Response Center (MSRC).
Résultat :
- pas de correctif immédiat
- exploits publics disponibles
- fenêtre d’exposition accrue
Pourquoi ces failles sont particulièrement dangereuses
Les zero-day représentent l’un des risques les plus critiques en cybersécurité.
Par définition :
- elles ne sont pas corrigées
- elles peuvent être exploitées activement
- les utilisateurs n’ont souvent aucune protection immédiate
Dans ce cas précis, elles ciblent directement :
- Microsoft Defender
- le cœur des mécanismes de sécurité Windows
Ce qui les rend encore plus sensibles.
Quels risques pour les utilisateurs ?
Ces vulnérabilités ne permettent pas une attaque à distance directe.
Mais elles deviennent dangereuses dans un scénario classique :
- un malware ou un accès initial est obtenu
- l’attaquant exploite la faille
- il élève ses privilèges
- il prend le contrôle total du système
C’est une technique largement utilisée dans les attaques modernes.
Que faire en attendant un correctif ?
En l’absence de patch officiel, les bonnes pratiques restent essentielles :
- maintenir Windows et Defender à jour
- éviter d’exécuter des fichiers inconnus
- limiter les droits utilisateurs
- surveiller les comportements suspects
Ayez un comportement responsable sur internet, suivez ces deux guides :
Dans les environnements professionnels :
- renforcer la supervision
- utiliser des solutions EDR
- isoler les machines à risque
Conclusion
Les vulnérabilités RedSun, BlueHammer et UnDefend illustrent une réalité importante : même les composants de sécurité comme Microsoft Defender peuvent devenir des vecteurs d’attaque
La publication d’exploits publics et leur exploitation rapide montrent à quel point la gestion des zero-day reste un défi majeur.
Dans ce contexte, la vigilance reste essentielle, en attendant que Microsoft publie des correctifs pour ces failles critiques.
Sources :
L’article Windows : des failles zero-day Microsoft Defender exposées, déjà exploitées dans des attaques est apparu en premier sur malekal.com.
