Yoan AGOSTINI

Yoan AGOSTINI

1337 G33k

Recently leaked Windows zero-days now exploited in attacks

1 minute de lecture

Mis à jour :

Exploitation active de vulnérabilités Windows « Zero-Day » divulguées

Des acteurs malveillants exploitent activement trois vulnérabilités Windows récemment rendues publiques par un chercheur en sécurité sous le pseudonyme « Nightmare-Eclipse ». Initialement divulguées par mécontentement envers le processus de gestion des vulnérabilités de Microsoft, ces failles sont désormais utilisées dans des attaques réelles, notamment via des accès VPN compromis.

Points clés :

  • Origine : Publication de preuves de concept (PoC) par un chercheur indépendant en protestation contre le MSRC (Microsoft Security Response Center).
  • Cibles : Systèmes Windows 10, 11 et Windows Server 2019+.
  • Objectif : Élévation de privilèges (LPE) vers SYSTEM ou blocage des mises à jour de Microsoft Defender.
  • État actuel : Déploiement observé en conditions réelles, y compris lors d’activités malveillantes « mains sur le clavier ».

Vulnérabilités identifiées :

  • BlueHammer (CVE-2026-33825) : Une faille d’élévation de privilèges locale dans Microsoft Defender.
  • RedSun : Faille d’élévation de privilèges permettant d’obtenir les droits SYSTEM en abusant du comportement de Defender lors de la gestion de fichiers identifiés comme malveillants (non corrigée à ce jour).
  • UnDefend : Permet à un utilisateur standard de bloquer les mises à jour des définitions de Microsoft Defender (non corrigée à ce jour).

Recommandations :

  • Application des correctifs : Appliquer immédiatement les mises à jour de sécurité d’avril 2026 pour corriger CVE-2026-33825.
  • Surveillance accrue : Étant donné que RedSun et UnDefend ne disposent pas encore de correctifs officiels, une surveillance étroite des terminaux est nécessaire pour détecter toute activité suspecte liée à une élévation de privilèges anormale.
  • Sécurité des accès : Renforcer les accès VPN (multi-facteurs, politiques de moindre privilège) pour empêcher l’entrée initiale des attaquants.
  • Veille : Surveiller les annonces de Microsoft pour le déploiement futur de correctifs concernant les failles encore ouvertes.

Source

Vous pourriez aimer