Un antivirus censé verrouiller la porte qui finit par tendre les clés aux cambrioleurs. La CISA a confirmé que des groupes de ransomware exploitent désormais BlueHammer, une faille d’élévation de privilèges nichée dans Microsoft Defender et déjà repérée en zero-day. La vulnérabilité a circulé sous plusieurs noms dans l’écosystème sécurité avant d’atterrir dans des attaques bien réelles.
Points clés
- BlueHammer (CVE-2026-33825) permet une élévation de privilèges via Microsoft Defender et est désormais exploitée par des gangs de ransomware
- La CISA l’a inscrite au catalogue KEV avec une échéance de remédiation fixée au 3 juin 2026 pour les agences fédérales
- La faille s’inscrit dans une série de zero-days Windows liés aux alias Nightmare Eclipse / Chaotic Eclipse, aux côtés de RedSun et UnDefend
Une faille dans le composant censé vous protéger
La vulnérabilité touche Microsoft Defender et permet une élévation de privilèges. Les éléments de contexte l’associent à CVE-2026-33825, un bug qui offre à un attaquant déjà présent sur la machine un escalier vers des droits plus élevés. D’abord observée en zero-day, elle s’est ensuite retrouvée dans la besace des opérateurs de ransomware.
Dans les rapports de renseignement, BlueHammer voisine avec d’autres failles Defender signalées en 2026, dont RedSun et UnDefend. Huntress a constaté des intrusions réelles l’exploitant dans les jours suivant sa divulgation. La CISA l’a inscrite à son catalogue Known Exploited Vulnerabilities (KEV), le registre des failles activement exploitées.
La pression réglementaire sur les agences fédérales
Une faille au catalogue KEV, et les agences fédérales américaines reçoivent une consigne de correction assortie d’un délai. Ici, la CISA a fixé l’échéance de remédiation au 3 juin 2026 pour les systèmes Windows concernés. Le tout au titre de la Binding Operational Directive 22-01, qui oblige les administrations à colmater les vulnérabilités connues et exploitées.
Le paradoxe est savoureux. BlueHammer frappe un composant de sécurité censé réduire la surface d’attaque, pas l’agrandir. Une fois la faiblesse exploitée, un groupe de ransomware prend pied plus profondément sur un poste déjà compromis, puis enchaîne mouvement latéral et déploiement du chiffrement malveillant.
Une série noire pour Defender en 2026
L’année ressemble à une avalanche de divulgations visant Microsoft Defender. Plusieurs billets de veille pointent un chercheur opérant sous les alias Nightmare Eclipse ou Chaotic Eclipse, avec une cascade de preuves de concept ciblant Defender, BitLocker et d’autres composants Windows. Dans cette série de zero-days, BlueHammer figurait parmi les premières briques avant que d’autres failles ne rejoignent le KEV.
Pour les équipes de défense, la marche à suivre n’a rien d’exotique : vérifier les correctifs Microsoft appliqués, contrôler l’état des moteurs et signatures Defender, et traquer toute activité suspecte sur les hôtes Windows exposés. La confirmation d’une exploitation par des gangs de ransomware fait passer BlueHammer du statut d’avis de sécurité à celui d’urgence opérationnelle.
