La CISA donne aux administrateurs de Windows jusqu'au 3 juin pour corriger les failles de Nightmare Eclipse Defender

Les agences fédérales ont jusqu'au 3 juin pour appliquer des correctifs à deux vulnérabilités de Microsoft Defender activement exploitées et liées à la campagne de divulgation Nightmare Eclipse. À 48 heures de cette échéance, trois autres failles Windows du même chercheur n'ont toujours pas été corrigées, et le 9 juin est la prochaine occasion pour Microsoft de s'en occuper.

La saga a commencé au début du mois d'avril lorsque Nightmare Eclipse a divulgué BlueHammer (CVE-2026-33825), qui a été corrigé lors du Patch Tuesday du 14 avril et dont la date limite CISA est passée au début du mois de mai. Le compte à rebours actuel est ancré par une action CISA distincte le 20 mai, ajoutant RedSun (CVE-2026-41091) et UnDefend (CVE-2026-45498) au catalogue des vulnérabilités connues et exploitées, après que Huntress a confirmé l'exploitation active de ces vulnérabilités dans le cadre d'attaques réelles. LA CISA a imposé une remédiation dans le cadre de la directive opérationnelle contraignante 22-01, avec un délai de 14 jours.

Les effets des failles corrigées

RedSun cible le moteur de hiérarchisation de Defender afin d'élever les privilèges au niveau de SYSTEM. UnDefend déclenche une condition de déni de service dans la plateforme antimalware, rendant Defender complètement aveugle et créant une fenêtre pour le déploiement de ransomware ou le mouvement latéral sans déclencher d'alertes.

Ces deux problèmes sont corrigés dans Malware Protection Engine 1.1.26040.8 et Antimalware Platform 4.18.26040.7. Vérifiez ces numéros de version dans les paramètres de sécurité de Windows avant le 3 juin.

Trois failles sans correctif

YellowKey (CVE-2026-45585) contourne BitLocker sur les systèmes TPM uniquement via l'environnement de récupération de Windows, permettant un accès physique pour déverrouiller les disques cryptés sans clé de récupération. GreenPlasma est une faille d'escalade de privilèges CTFMON sans CVE ni correctif. MiniPlasma réexploite la CVE-2020-17103 dans cldflt.sys, une faille 2020 dont le correctif était incomplet ou avait régressé silencieusement.

ThreatLocker et Will Dormann ont confirmé qu'il produit toujours un shell SYSTEM sur Windows 11 et Windows Server 2022 et 2025 entièrement corrigés. Windows 10 n'est pas affecté, ce qui est important pour les équipes gérant des flottes mixtes.

Pour YellowKey, exécutez reagentc /disable, montez la ruche de registre WinRE hors ligne, supprimez autofstx.exe de BootExecute sous ControlSet001ControlSession Manager, puis exécutez reagentc /enable pour valider la modification. Faites passer BitLocker de TPM-only à TPM+PIN dans la mesure du possible.

Nightmare Eclipse a signalé une publication le 14 juillet, en vue du Patch Tuesday de ce mois.