Cette faille Windows donne un accès total à votre PC et n'a jamais été corrigée en 6 ans

Le pseudonyme « Nightmare-Eclipse » est apparu le 3 avril 2026 avec BlueHammer, un exploit ciblant Microsoft Defender. Cinq autres failles ont suivi à un rythme quasi hebdomadaire : RedSun et UnDefend (Defender), YellowKey (BitLocker), GreenPlasma (le service de saisie CTFMON) et MiniPlasma (le pilote de synchronisation OneDrive).

Selon un rapport de Barracuda Networks publié le 19 mai, le chercheur affirme agir par représailles après un différend avec Microsoft. Aucune preuve d'affiliation étatique ni de motivation financière n'a été identifiée.

Comment un correctif de 2020 a pu disparaître

La dernière faille, MiniPlasma, est la plus intrigante. Elle cible le pilote noyau cldflt.sys, le composant qui gère la fonctionnalité « Fichiers à la demande » d'OneDrive. Lorsqu'un utilisateur ouvre un fichier synchronisé, ce pilote remplace la coquille vide (le « placeholder ») par les données réelles téléchargées depuis le cloud.

La vulnérabilité exploite une condition de concurrence (« race condition ») : deux opérations simultanées se disputent l'accès à une même ressource. L'exploit alterne rapidement entre deux identités système pour forcer le pilote à écrire des clés de registre dans une zone réservée au compte administrateur, puis redirige un processus légitime pour exécuter du code avec les privilèges les plus élevés (System).

Cette faille avait été signalée à Microsoft dès septembre 2020 par James Forshaw, de Google Project Zero (l'équipe de chasseurs de failles critiques de Google), sous la référence CVE-2020-17103.

Un correctif avait été publié en décembre 2020. Pourtant, le code d'exploitation original fonctionne toujours, sans aucune modification, sur un Windows 11 mis à jour en mai 2026. Will Dormann, analyste chez Tharsos, a confirmé la reproduction. Le correctif semble avoir régressé lors d'une mise à jour ultérieure, sans que Microsoft ne fournisse d'explication.

Ce qu'il faut vérifier sur votre PC

Sur les six failles, seule BlueHammer a reçu un correctif (14 avril 2026). Pour YellowKey, qui contourne le chiffrement BitLocker, Microsoft recommande depuis le 19 mai de passer de l'authentification « TPM seul » (réglage par défaut) à « TPM + code PIN ». Pour les quatre autres, dont MiniPlasma, aucun correctif n'est disponible.

Le prochain « Patch Tuesday » (la mise à jour mensuelle de Windows 11 censée corriger les failles et bugs du système d'exploitation) est prévu le 10 juin. La société Huntress a par ailleurs documenté l'exploitation des trois premières failles dans une intrusion réelle détectée dès le 10 avril.