Au milieu du mois d'juin 2026, Microsoft a reconnu l'existence de RoguePlanet, une faille permettant l'escalade de privilèges dans le Microsoft Malware Protection Engine (mpengine.dll), le moteur d'analyse de Windows Defender. Microsoft a attribué à cette vulnérabilité la note « Exploitation plus probable » dans son indice d'exploitabilité et lui a attribué un score CVSS de 7,8. Microsoft a publié un correctif pour le moteur de protection contre les logiciels malveillants (version 1,1,26060,3008 ) dans le cadre de son cycle de mises à jour « juillet 2026 ».
Sur le site 11 août 2026, un chercheur en sécurité, , a rendu public un nouveau concept de preuve (proof-of-concept) intitulé « ShieldBreak », affirmant qu'il permettait de contourner entièrement le correctif publié par Microsoft en juillet. Le PoC a été testé avec un taux de réussite annoncé de 100 % sur Windows 11 25H2, y compris les versions du canal Canary, et sur Windows Server 2025 ; plusieurs sources indiquent que Windows 10 et ses équivalents Server restent vulnérables à la même faille sous-jacente, bien que le PoC public ne les cible pas officiellement. Des tests indépendants ont confirmé que cette faille de sécurité fonctionne et ont révélé que Windows Defender doit être activé pour qu'elle puisse être exploitée. À l'heure où nous écrivons ces lignes, Microsoft n'a pas publié de mise à jour permettant de corriger cette faille, et son guide des mises à jour de sécurité « » pour le CVE-2026-50656 mentionne toujours la mise à jour du moteur de juillet comme solution disponible.
En quoi consiste cette vulnérabilité ?
RoguePlanet est une condition de concurrence (une fenêtre temporelle de type « vérifier puis agir ») dans le fichier mpengine.dll qu’un attaquant local peut exploiter lors d’une analyse de fichiers afin de la rediriger vers un shell de commande s’exécutant sous l’ NT AUTHORITY\SYSTEM. Le correctif publié par Microsoft en juillet a comblé une faille donnant accès au code vulnérable. ShieldBreak relance la course sous-jacente en recourant à une technique différente : il enregistre un fournisseur de stockage cloud malveillant, l’associe à un fichier de remplacement spécialement conçu, puis combine la manipulation des journaux CLFS avec les liens symboliques d’Object Manager afin de tromper le pipeline d’analyse de Defender et de le pousser à verrouiller un fichier système légitime (signalé comme étant « phoneinfo.dll ») tandis qu’un substitut malveillant est subrepticement substitué à sa place, ce qui aboutit finalement à la création d’un shell de niveau SYSTEM. Conformément au référentiel MITRE ATT&CK, les techniques concernées sont la T1068 (Exploitation visant l'élévation de privilèges) et la T1574 (Détournement du flux d'exécution).
Points clés à retenir
- Nécessite au préalable l'exécution de code local : un attaquant a besoin d'un point d'ancrage existant (une session d'utilisateur standard, un fichier malveillant exécuté par l'utilisateur ou une charge utile issue d'une étape précédente) pour élever ses privilèges. Il ne s'agit pas d'une attaque à distance et non authentifiée.
- Pour que cette faille de sécurité fonctionne, Windows Defender doit être activé et effectuer une analyse en temps réel ; les terminaux sur lesquels Defender est désactivé ou sur lesquels un autre produit est enregistré comme antivirus ne sont pas concernés.
- Confirmé avec un taux de réussite de 100 % sous Windows 11 25H2 (y compris le canal Canary) et Windows Server 2025 ; Windows 10 et ses équivalents serveur présenteraient la même faille sous-jacente, mais ne sont pas officiellement visés par la démonstration de concept (PoC) publique actuelle.
- Aucune mise à jour de sécurité Microsoft ne corrige actuellement la faille « ShieldBreak ». La mise à jour (1,1,26060,3008) du moteur de protection contre les logiciels malveillants « juillet 2026 » ne traitait que le chemin d'accès d'origine de RoguePlanet.
Comment Tanium peut vous aider
Tanium Guardian : Le tableau de bord « ShieldBreak : exploit « zero-day » de Windows Defender » indique quels terminaux ont Windows Defender enregistré comme fournisseur d'antivirus actif, ainsi que le nombre réel de terminaux exposés, puisque l'exploit ne s'exécute pas lorsque Defender est désactivé ou qu'un autre produit est enregistré. Il comprend également une action permettant de déployer la mesure de protection provisoire : un fichier factice « phoneinfo.dll » de 0 octet qui bloque l'étape de substitution de fichier dont dépend l'exploit, ainsi qu'un package de restauration. Testez cette mesure d'atténuation sur un petit groupe avant de la déployer à grande échelle ; elle peut entraîner des effets indésirables.
Tanium Threat Response : Exécutez les signaux de la section « Hunting Guidance » (Conseils de recherche) du tableau de bord : l'un d'entre eux signale les processus enfants du processus « Windows Error Reporting » (wermgr.exe) lancés avec une ligne de commande « -upload », et un autre signale les processus non-SYSTEM qui écrivent des fichiers Report.wer vers le chemin d’accès « WER ReportQueue », avec un filtrage contre les faux positifs connus (les fichiers PerfWatson2.exe et devenv.exe de Visual Studio, HxD.exe et ScenarioEngine.exe de SQL Server). L'activité ShieldBreak non modifiée devrait toujours déclencher le signal Tanium existant : « Conhost Spawned Executable » ainsi que les signatures natives de Windows Defender ; toutefois, les attaquants qui exploitent cette faille pourraient contourner la détection basée sur les signatures.
Tanium Interact : Exécutez les requêtes prédéfinies du tableau de bord (activité des fichiers « Report.wer » pour les utilisateurs non-SYSTEM, arborescence des processus descendants de wermgr.exe et processus de l'utilisateur SYSTEM dont l'ancêtre est le service « Windows Error Reporting ») afin d'analyser ponctuellement l'activité sur l'ensemble du parc informatique.
Références
- Guide des mises à jour de sécurité Microsoft, CVE-2026-50656
- CVE-2026-50656 Detail - NVD
- CVE-2026-50656 - Fiche CVE
- Kudelski Security, « RoguePlanet » : vulnérabilité « zero-day » permettant l'escalade de privilèges dans Microsoft Defender
- Security Affairs, ShieldBreak : une nouvelle faille « zero-day » sous Windows contourne le correctif « RoguePlanet » de Microsoft
- Security Affairs : Microsoft confirme l'existence d'une faille « zero-day » liée à RoguePlanet ; un correctif est en cours de développement
- Actualités de la sécurité : Microsoft a corrigé une faille de Defender - RoguePlanet (CVE-2026-50656)
- Guide de l'utilisateur de Tanium Threat Response : Ajout de renseignements (Signaux)
- Guide de l'utilisateur de Tanium Interact, Présentation d'Interact
Équipe de recherche du Guardian
L'équipe de recherche du Guardian est un groupe spécialisé d'experts en cybersécurité chargé d'identifier, d'analyser et de fournir des renseignements exploitables sur les menaces critiques, émergentes et de type « zero-day ».
