Microsoft a fait preuve de respect juridique envers le chercheur qui a publié les vulnérabilités de Windows

Microsoft a lancé un message d'action en justice et de coopération avec les forces de l'ordre après qu'un chercheur en sécurité utilisant le pseudonyme Nightmare Eclipse ait rendu publics les vulnérabilités de Windows et les codes d'exploitation. Le chercheur a partagé les vulnérabilités appelées BlueHammer, RedSun, UnDefend, YellowKey, GreenPlasma et MiniPlasma sur GitHub et GitLab. Les vulnérabilités affectaient les produits Microsoft qui touchent directement la couche de sécurité, tels que Windows Defender et BitLocker. Le débat ne portait donc pas uniquement sur la tension entre un chercheur et une entreprise, mais visait également la relation de confiance dans l’écosystème Windows.

Microsoft Security Response Center a déclaré dans son article publié jeudi que les vulnérabilités en question n'avaient pas été signalées de manière « responsable ». La société a fait valoir que le chercheur avait rendu publiques les vulnérabilités sans les signaler à Microsoft, créant ainsi des risques inutiles pour les clients. Microsoft a également déclaré que son équipe de l'Unité des crimes numériques mènerait des poursuites civiles, des contre-mesures techniques contre les acteurs qui permettent des activités criminelles et se coordonnerait avec les forces de l'ordre si nécessaire.

Nightmare Eclipse, en revanche, a affirmé dans ses articles de blog publiés ces dernières semaines qu'il avait contacté Microsoft, mais que l'entreprise l'avait mal traité. Le chercheur a affirmé que son accès à son compte Microsoft Security Response Center avait été supprimé. Le fait que GitHub appartient à Microsoft a encore aggravé la controverse avec la suppression du compte GitHub du chercheur. La fermeture du compte GitLab n’a pas arrêté la propagation des vulnérabilités ; Les codes et détails techniques se sont rapidement répandus dans différents canaux de la communauté de la sécurité.

Il existe également un risque plus concret du côté de la sécurité. Huntress a expliqué qu'il avait vu les outils BlueHammer, RedSun et UnDefend dans le cadre d'enquêtes sur des attaques réelles. La CISA a également suivi le registre CVE-2026-33825 pour BlueHammer et a fourni aux agences fédérales américaines un calendrier d'action accéléré. Ce détail montre que les codes PoC accessibles au public ne sont pas seulement du matériel de recherche théorique.

Où les chercheurs devraient-ils fixer la limite du partage ouvert ?

Pour protéger les utilisateurs, les chercheurs doivent d’abord signaler les vulnérabilités au fabricant, qui doit prendre le signalement au sérieux et apporter une réponse technique dans un délai raisonnable. Le problème s’aggrave à mesure que les deux parties prennent des mesures qui nuisent à la relation de confiance. Microsoft préconise une approche de « notification coordonnée des vulnérabilités ». De nombreux membres de la communauté de la sécurité ont vu le langage de « divulgation responsable » et les implications juridiques de l'entreprise comme un moyen de faire pression sur les chercheurs.

Les principales lacunes de l'incident sont énumérées comme suit :

• BleuMarteaurisque une élévation de privilèges locale via Microsoft Defender.
• Soleil rougeIl a été partagé avec l'affirmation d'atteindre le niveau SYSTEM sur les systèmes Windows.
• ne pas défendreest connu pour le scénario de blocage des mises à jour de Defender.
• Clé jauneest particulièrement important pour les appareils volés ou accessibles physiquement en raison de sa prétention de contourner la protection BitLocker.
• VertPlasma Et MiniPlasmaa été ajouté à la liste avec des revendications d’élévation de privilèges dans différents composants du système Windows.

Pour être honnête, nous constatons que Microsoft gère ici la crise sur deux fronts distincts. D’une part, l’entreprise doit protéger rapidement ses clients, et d’autre part, elle doit avancer sans perdre son lien avec le milieu de la recherche. Des personnalités expérimentées dans le monde de la sécurité, telles que Katie Moussouris, affirment que les déclarations ayant des implications juridiques peuvent empêcher les chercheurs de signaler les vulnérabilités à Microsoft. Une telle rupture entraîne des risques qui seront corrigés ultérieurement pour les banques, les institutions publiques, les hôpitaux et les PME qui utilisent des appareils Windows à l'échelle de l'entreprise, notamment en Turquie.

La meilleure solution pour Microsoft serait d'expliquer de manière transparente la rupture dans le processus de notification, au lieu de faire pression sur le chercheur uniquement pour des raisons juridiques. Il convient de noter que la publication directe des vulnérabilités de Nightmare Eclipse met les utilisateurs en danger. Mais lorsque les grandes entreprises technologiques positionnent les chercheurs en sécurité comme des adversaires, les attaquants peuvent exploiter cette faille plus rapidement. La sécurité de Windows est renforcée non seulement par les correctifs, mais également par le fait que les chercheurs continuent de vouloir frapper à la porte.