ShieldBreak : le contournement public qui remet à zéro le correctif RoguePlanet de Microsoft Defender

Rapport CTI technique du 13 août 2026

Résumé exécutif

Le chercheur connu sous le pseudonyme Nightmare Eclipse a publié le 12 août 2026, au lendemain du Patch Tuesday d'août, un exploit fonctionnel baptisé ShieldBreak qui contourne intégralement le correctif que Microsoft avait livré en juillet pour RoguePlanet (CVE-2026-50656). La preuve de concept détourne le mécanisme de scan cloud de Microsoft Defender via l'API Cloud Filter (cfapi) pour faire écrire du contenu attaquant à l'emplacement d'un fichier système, puis obtient l'exécution de code avec les privilèges SYSTEM. Elle a été testée avec un taux de réussite de 100 % sur Windows 11 25H2, le canal Canary et Windows Server 2025 entièrement patchés, la seule condition étant que Microsoft Defender soit activé.

Ce n'est ni un cas isolé ni un accident de parcours dans le cycle de correction de Microsoft. ShieldBreak est le neuvième exploit que Nightmare Eclipse rend public depuis avril 2026 contre Defender, BitLocker et d'autres composants Windows, dans un climat où Microsoft a répondu aux publications précédentes par des menaces de poursuites judiciaires plutôt que par une remédiation rapide. Pour un pentester ou un opérateur red team disposant d'un accès local même restreint sur un poste Windows moderne, ShieldBreak offre aujourd'hui un chemin d'escalade fiable vers SYSTEM sans dépendre d'un correctif manquant sur une version obsolète : la cible peut être à jour au jour de la publication.

Chronologie

Date	Événement
17 juin 2026	Divulgation publique de RoguePlanet, race condition dans le moteur Microsoft Malware Protection Engine, CVSS 7.8
25 juin 2026	Un PoC public confirme que RoguePlanet fonctionne y compris avec la protection en temps réel désactivée, sans correctif officiel disponible
Juillet 2026	Microsoft publie le correctif de RoguePlanet dans le Malware Protection Engine version 1.1.26060.3008
11 août 2026	Patch Tuesday d'août 2026, 421 CVE corrigées, aucun correctif ne touche le nouveau vecteur cfapi
12 août 2026	Nightmare Eclipse publie ShieldBreak et le dépôt de la preuve de concept ; Will Dormann (Tharros) confirme l'exploitation fonctionnelle ; Kevin Beaumont publie une requête de chasse KQL pour Microsoft Defender for Endpoint

Fiche vulnérabilité (format fiche CTI)

CVE-2026-50656 | CVSS 7.8 (base Microsoft, vecteur local) | Microsoft Malware Protection Engine (Microsoft Defender, Windows 10/11, Windows Server)

RoguePlanet est une race condition exploitant la manipulation de disques virtuels et d'appels natifs NT pour tromper le processus de mise en quarantaine de Defender et lui faire écraser des fichiers système. Un attaquant disposant d'un accès local peut faire naître un shell SYSTEM sur un hôte entièrement à jour. Conditions d'exploitation : accès local (pas nécessairement authentifié avec des privilèges élevés), aucune interaction utilisateur requise. PoC disponible : oui, publié en juin 2026, fonctionnel indépendamment de l'état de la protection en temps réel. Patch : corrigé dans le Malware Protection Engine 1.1.26060.3008 en juillet 2026.

ShieldBreak (pas de CVE attribué à ce jour) | Sévérité équivalente Critique par impact (SYSTEM local, PoC public, taux de réussite 100 %) | Microsoft Defender / Cloud Filter API (cfapi), Windows 10, Windows 11 (y compris 25H2 et canal Canary), Windows Server 2025

Mécanisme technique : contrairement à RoguePlanet qui exploitait une race condition sur disque virtuel, ShieldBreak enregistre un hook de callback en mode utilisateur qui intercepte et modifie le contenu d'un fichier pendant une opération d'hydratation cloud déclenchée par un scan Defender via cfapi. L'exploit combine cette interception avec une manipulation du Common Log File System (CLFS) et des liens symboliques Object Manager pour rediriger le flux de scan de Defender vers un chemin de fichier falsifié. Lorsque le moteur de scan suit ce chemin manipulé, il déclenche l'exécution du code de l'attaquant avec les privilèges SYSTEM. Conditions d'exploitation : accès local, Microsoft Defender doit être activé (la protection en temps réel n'est pas nécessairement requise selon les tests communautaires), aucune interaction utilisateur. PoC disponible : oui, dépôt Git publié par Nightmare Eclipse (git.projectnightcrawler.dev/NightmareEclipse/ShieldBreak), testé et confirmé indépendamment par Will Dormann. Patch/mitigation : aucun correctif officiel à la date de publication de cet article ; Microsoft n'a pas confirmé de calendrier de remédiation.

Diagramme de la chaîne d'attaque

Chaîne d'exploitation ShieldBreak, du hook cfapi à l'exécution SYSTEM
Chaîne reconstruite à partir de l'analyse technique de Kevin Beaumont (Depths of the Cyberplace / ThreatHunting KQL) et du dépôt PoC de Nightmare Eclipse.

Analyse technique

Étape 1 : accès local et enregistrement du fournisseur cloud factice

L'attaquant, disposant déjà d'un accès local à la machine (poste utilisateur standard, session RDP, ou exécution de code après une autre étape d'intrusion), enregistre un fournisseur de synchronisation cloud personnalisé auprès de l'API Cloud Filter de Windows. Cette API, normalement utilisée par des clients légitimes comme OneDrive pour matérialiser des fichiers distants sous forme de placeholders locaux, accepte l'enregistrement de fournisseurs tiers sans validation d'intégrité renforcée sur le contenu qu'ils vont servir.

Étape 2 : liaison d'un fichier placeholder à un hook de callback malveillant

Le fournisseur cloud factice est lié à un fichier placeholder spécialement construit. Un callback en mode utilisateur est enregistré pour intercepter les demandes d'hydratation, c'est-à-dire le moment où le système va récupérer le contenu réel censé remplacer le placeholder. C'est ce hook qui permet à l'attaquant de contrôler ce que Defender va effectivement lire lorsqu'il croit scanner un fichier légitime.

Étape 3 : manipulation CLFS et redirection via Object Manager

L'exploit combine la manipulation du Common Log File System, déjà connu comme surface d'exploitation locale sur Windows dans plusieurs CVE antérieures, avec des liens symboliques créés au niveau de l'Object Manager du noyau. Cette combinaison permet de rediriger silencieusement le chemin que Defender va scanner et écrire vers un emplacement contrôlé par l'attaquant, indépendamment des permissions apparentes sur le fichier cible visible.

Étape 4 : déclenchement du scan cloud-hydration par Defender

Lorsque Microsoft Defender exécute son scan de hydratation cloud sur le fichier placeholder, il suit le chemin manipulé et lit ou écrit le contenu que l'attaquant a préparé, à l'emplacement qu'il a choisi. Le processus de scan de Defender s'exécutant lui-même avec des privilèges élevés, cette opération d'écriture contrôlée par l'attaquant hérite de ces privilèges.

Étape 5 : exécution de code avec privilèges SYSTEM

Le contenu injecté via le chemin manipulé est un binaire ou un script que Windows va charger ou exécuter dans un contexte SYSTEM, complétant l'escalade de privilèges. Le PoC démontre une exécution de commande shell SYSTEM depuis un compte utilisateur standard, sans étape d'authentification supplémentaire ni interaction de la victime.

Indicateurs de compromission

Type	Valeur
Requête de chasse	Requête KQL publique de Kevin Beaumont pour Microsoft Defender for Endpoint, disponible dans le dépôt GossiTheDog/ThreatHunting, fichier AdvancedHuntingQueries/ShieldBreak.kql
Dépôt PoC	git.projectnightcrawler.dev/NightmareEclipse/ShieldBreak
Article de divulgation	blog.projectnightcrawler.dev/posts/2026-08-11-shieldbreak-august-2026-disclosure

Aucun IOC réseau ou hash de charge utile spécifique à une campagne d'exploitation active n'a été publié à ce jour : il s'agit d'une divulgation de recherche offensive, pas encore d'une exploitation confirmée en conditions réelles par un acteur de menace identifié. Les IOC ci-dessus concernent la détection de l'usage du PoC lui-même.

MITRE ATT&CK

Tactique	Technique	ID	Justification
Privilege Escalation	Exploitation for Privilege Escalation	T1068	Exploitation directe d'une faiblesse logicielle dans le moteur de scan Defender pour obtenir des privilèges SYSTEM
Defense Evasion	Impair Defenses: Disable or Modify Tools	T1562.001	Le contournement transforme l'outil de sécurité lui-même (Defender) en vecteur d'exécution, neutralisant sa fonction de protection
Defense Evasion	Hijack Execution Flow	T1574	Détournement du flux d'exécution du scan de hydratation cloud via manipulation de callback et de liens symboliques

Cette cartographie est une lecture technique construite à partir de l'analyse publique disponible, et non une attribution MITRE officielle publiée par Microsoft ou par le chercheur.

Remédiation : checklist opérationnelle

Suivre les canaux de Microsoft Security Response Center pour tout correctif publié concernant ShieldBreak ; aucun correctif officiel n'existe à la date de cet article.
Déployer la requête de chasse KQL publiée par Kevin Beaumont sur Microsoft Defender for Endpoint pour détecter les tentatives d'exploitation dans l'environnement.
Restreindre autant que possible l'exécution de code local sur les postes exposés, en particulier sur les serveurs Windows Server 2025 qui hébergent des charges sensibles, en attendant un correctif.
Auditer les enregistrements de fournisseurs Cloud Filter API non standard sur les postes critiques ; l'enregistrement d'un fournisseur cloud inconnu est un signal fort.
Envisager, pour les environnements à très haut risque, la mise en place de contrôles compensatoires via EDR tiers capables de surveiller les appels CLFS et Object Manager anormaux, en complément de Defender plutôt qu'en remplacement pur.
Documenter cette faiblesse dans les rapports de test d'intrusion internes comme un vecteur d'escalade locale valide sur les cibles Windows à jour, tant qu'aucun correctif n'est publié.
Réévaluer le calendrier de correction des huit vulnérabilités précédentes de Nightmare Eclipse encore sans patch officiel (LegacyHive, BlueHammer, RedSun, UnDefend entre autres), qui restent exploitables en parallèle.