Deux défaillances Microsoft Defender exploitées dans des environnements réels soulèvent des privilèges à SYSTEM et causent DoS patch urgent

Microsoft a confirmé que deux crashs dans son moteur anti-malware ont été activement exploités dans des environnements réels: un lifting privilège (CVE-2026-41091) qualifié avec 7,8 sur l'échelle CVSS et un déni de service (CVE-2026-45498) avec 4,0 score. La première permet à un attaquant autorisé de monter aux privilèges SYSTEM par un problème dans la résolution des liens avant l'accès aux fichiers, tandis que le second peut interrompre le service de la composante de sécurité. Les deux erreurs ont été garées dans les versions de moteur indiquées par Microsoft, donc la mise à jour est une priorité.

La nature locale du privilège de lever la vulnérabilité signifie que l'attaquant a besoin d'un certain degré d'accès initial à l'équipement - par exemple, un compte utilisateur ou une exécution de code dans un contexte restreint - et puis de profiter de la défaillance et de prendre le contrôle du système avec des autorisations complètes. Ce saut vers SYSTEM transforme tout accès limité en une invasion intégrale du terminal, avec la capacité de désactiver les commandes, de déployer la persistance ou de se déplacer latéralement dans un réseau.

Microsoft a souligné que les équipes avec Microsoft Defender désactivés ne sont pas vulnérables à cet échec particulier, mais désactiver les solutions de sécurité n'est pas une atténuation acceptable dans des environnements productifs : elle laisse les systèmes exposés à des menaces connues et inconnues. La société a accrédité plusieurs chercheurs pour la découverte, et a inclus à la fois des défaillances dans son canal de correction par moteur automatique et des mises à jour de définition.

Si vous êtes administrateur ou agent de sécurité, vérifiez que la plate-forme anti-malware de Microsoft est dans les versions qui corrigent ces défauts (par exemple, Antimalware Platform 1.1.26040.8 et 4.18.26040.7 comme Microsoft l'a signalé). Vous pouvez vérifier la documentation officielle sur la façon de tenir Microsoft Defender et les clients mis à jour: Comment mettre à jour Microsoft Defender. De plus, l'inclusion de ces CVE dans le catalogue des vulnérabilités exploitées de la CISA exige que certaines entités fédérales remédient dans des délais précis; examiner le catalogue pour voir la liste complète et la date limite : CISA KEV (Vulnérabilités exploitées).

Pour vérifier l'état sur un ordinateur Windows, ouvrez l'application Windows Security, examinez la section Protection des virus et menaces et vérifiez les mises à jour de protection; dans la section About (About) il y a aussi le numéro de version client antimalware qui confirme si vous avez reçu la correction. Dans les environnements gérés, il vaut la peine que WSUS, Intune ou la solution de gestion des correctifs que vous utilisez déploient correctement les mises à jour du moteur et qu'il n'y ait aucune politique qui empêche la mise à jour automatique.

En termes de détection et de réponse, vérifiez les enregistrements Microsoft Defender (par exemple les événements sous Microsoft-Windows-Windows Defender / Operational) et vos alertes EDR pour des activités post-locales inhabituelles : création de services, changement de démarrage, gestion du moteur antivirus ou écriture dans des répertoires protégés. La chasse aux menaces devrait se concentrer sur l'activité locale qui précède les changements dans le contexte de la sécurité et dans l'exploitation de liens symboliques ou de techniques de "lien suivant" qui profitent de l'accès aux fichiers.

Au-delà du patching, il applique des contrôles compensatoires : il réduit les privilèges locaux par défaut, segmente les réseaux et limite la capacité de mise en œuvre des binaires non signés ou non approuvés ; il utilise des politiques de restriction d'application et des principes moins privilégiés pour atténuer l'impact si une vulnérabilité locale est exploitée. Pour les organisations à forte exposition, envisager d'augmenter la télémétrie des paramètres et de permettre des mécanismes de réponse automatisés pour isoler rapidement les hôtes engagés.

L'émergence de ces vulnérabilités ainsi que d'autres récemment ajoutées au catalogue de la CISA souligne que ni les échecs anciens ni les nouveaux échecs ne doivent être ignorés: l'hygiène des patchs et la surveillance continue restent les défenses les plus efficaces. Elle priorise la vérification des mises à jour, coordonne avec les équipes opérationnelles la distribution des correctifs et documente les vérifications afin de démontrer la conformité aux exigences réglementaires ou contractuelles.