Boucher une fuite et en ouvrir une autre : c’est le sport favori des correctifs pressés. La mise à jour publiée par Microsoft pour refermer RoguePlanet, une faille de prise de contrôle dans Microsoft Defender, pourrait à son tour ouvrir une porte moins spectaculaire mais tout aussi gênante. Selon un chercheur en sécurité, le correctif peut saturer l’espace disque d’un PC via le moteur antimalware de Defender.
La vulnérabilité d’origine, référencée CVE-2026-50656, vise le Microsoft Malware Protection Engine, le moteur de détection de Defender. Microsoft a diffusé une correction sous forme de mise à jour du moteur vers la version 1.1.26060.3008. Mais le chercheur connu sous les pseudonymes Chaotic Eclipse et Nightmare-Eclipse affirme que les ajouts de « defense-in-depth » de cette version permettent désormais de remplir le disque d’une machine jusqu’à la dernière miette.
Points clés
- Le patch de la faille RoguePlanet (CVE-2026-50656) dans Microsoft Defender introduirait un nouveau bug de saturation du disque.
- L’attaque exploite un flux Zone.Identifier via SMB, mis en cache sans limite de taille par MsMpEng.exe.
- Le chercheur Chaotic Eclipse dit avoir reproduit le problème sur Windows 11 25H2 et Windows Server 2025, avec une variante WebDAV en préparation.
- Microsoft n’a pas confirmé ce second défaut ni annoncé de calendrier de correction.
RoguePlanet, une élévation de privilèges dans Defender
Présentée en juin, RoguePlanet est une faille d’élévation locale de privilèges dans Defender, capable de faire passer un compte standard au niveau SYSTEM. Microsoft a reconnu le problème puis publié, début juillet, la mise à jour du moteur antimalware. L’exploitation repose sur une condition de concurrence dans la chaîne de traitement des fichiers de Defender. La faille touche des machines Windows 10 et Windows 11 à jour, avec un impact potentiellement total une fois le code déclenché.
Le correctif met en cause Zone.Identifier
Le nouveau souci signalé après le patch concerne un traitement de fichiers via SMB, le protocole de partage de fichiers en réseau. D’après le chercheur, Defender conserve localement une copie d’un flux de données alternatif Zone.Identifier sans lui appliquer les limites de taille imposées ailleurs pour le scan ou la mise en quarantaine.
Le scénario s’appuie sur un serveur SMB contrôlé par un attaquant. Celui-ci fournit un fichier accompagné d’un très gros flux ADS (alternate data stream), bloque volontairement une requête de lecture puis laisse la connexion ouverte. MsMpEng.exe continue alors à mettre en cache le contenu et à verrouiller le fichier, jusqu’à épuiser l’espace libre.
« Cette implémentation a du sens, car mettre en quarantaine un énorme fichier va conduire Defender à épuiser complètement l’espace disque disponible. » (Chaotic Eclipse, chercheur en sécurité)
Le chercheur dit avoir reproduit le comportement sur Windows 11 25H2 et Windows Server 2025. Il travaillerait aussi sur une variante via WebDAV, qui affranchirait l’attaque de SMB. L’analyse du patch pointe également une fuite de 8 octets dans certains scénarios d’ouverture de fichier, visible à bas niveau mais pas directement exploitable depuis le mode utilisateur selon les premiers retours.
Microsoft n’a pas confirmé le nouveau bug
À ce stade, Microsoft n’a pas confirmé publiquement ce second défaut ni annoncé de calendrier de correction. Les sources spécialisées s’accordent au moins sur un point : le correctif de RoguePlanet est bien distribué via le moteur antimalware, sans action manuelle sur les systèmes qui reçoivent automatiquement les mises à jour de sécurité.
Pour les administrateurs, l’arbitrage est aussi vieux que l’informatique : appliquer le patch pour fermer l’élévation de privilèges, puis garder un œil sur l’espace disque et les accès SMB des machines corrigées. Refermer une porte en laissant traîner une fenêtre, Defender fait ici les deux d’un même geste.
