Vulnérabilité CVE-2026-50656 de RoguePlanet

Microsoft a officiellement reconnu l'existence d'une nouvelle vulnérabilité zero-day affectant Microsoft Defender, connue sous le nom de RoguePlanet, et a confirmé qu'une mise à jour de sécurité est actuellement en développement pour résoudre ce problème.

Cette faille a reçu la référence CVE-2026-50656 et présente un score de gravité CVSS de 7,8. Selon Microsoft, cette vulnérabilité est classée comme une faille d'élévation de privilèges au sein du moteur de protection contre les logiciels malveillants de Microsoft utilisé par Microsoft Defender.

Microsoft a déclaré être au courant du problème rendu public, que les chercheurs en sécurité ont baptisé RoguePlanet.

Comprendre la menace que représente RoguePlanet

Cette divulgation fait suite à la révélation publique de RoguePlanet environ une semaine auparavant. Le chercheur à l'origine de la découverte de cette faille l'a décrite comme une vulnérabilité de type « condition de concurrence » permettant à un attaquant d'accéder à un shell de commandes exécuté avec des privilèges de niveau SYSTEM.

Comme cette faille repose sur une condition de concurrence, son taux de réussite varie d'un système à l'autre. Les tests ont montré que certains appareils peuvent être compromis avec un taux de réussite quasi parfait, tandis que d'autres se révèlent plus résistants à l'exploitation.

Il est à noter que la preuve de concept (PoC) publiée fonctionne indépendamment du fait que la fonction de protection en temps réel de Microsoft Defender soit activée ou désactivée.

Liste croissante des failles de sécurité de Defender

RoguePlanet représente la quatrième vulnérabilité de Microsoft Defender divulguée publiquement par les mêmes chercheurs. Parmi les découvertes précédentes :

BlueHammer (CVE-2026-33825)
UnDefend (CVE-2026-45498)
RedSun (CVE-2026-41091)

Les trois vulnérabilités précédemment divulguées ont déjà été corrigées par Microsoft.

Impact potentiel d’une exploitation réussie

Si une attaque exploitant RoguePlanet réussit, l'attaquant obtient un shell doté de privilèges SYSTEM, l'un des plus élevés disponibles sur les systèmes Windows. Cet accès permet aux acteurs malveillants de :

Exécuter du code arbitraire.
Effectuer des actions non autorisées sur le système affecté.

Ces privilèges accrus augmentent considérablement l'impact potentiel d'un compromis réussi.

Testé sur des systèmes Windows entièrement mis à jour

Des tests de sécurité ont confirmé que la faille fonctionne sur les systèmes Windows 10 et Windows 11 ayant déjà reçu la mise à jour de sécurité de juin 2026. Cela indique que même les installations de bureau entièrement mises à jour restent vulnérables jusqu'à la publication d'un correctif dédié par Microsoft.

L’exposition des serveurs Windows nécessite une méthode d’exploitation différente

Dans sa forme actuelle, cette faille ne fonctionne pas sur les environnements Windows Server car les utilisateurs standard ne sont pas autorisés à monter des images ISO, une condition nécessaire à la technique d'attaque existante.

Cependant, cette limitation ne doit pas être interprétée comme une immunité. Les chercheurs ont souligné que les installations de Windows Server restent vulnérables à la faille sous-jacente. L'exploit devra simplement être repensé pour tenir compte des restrictions de la plateforme avant qu'une exploitation réussie soit possible.