La faille zero-day « RoguePlanet » de Microsoft Defender octroie les privilèges SYSTEM (CVE-2026-47281)

Le 10 juin 2026, des chercheurs en sécurité ont divulgué RoguePlanet, référencée sous CVE-2026-47281 — une faille zero-day d'élévation de privilèges affectant Microsoft Defender qui, selon ces chercheurs, permet à un attaquant local non privilégié d'obtenir les droits SYSTEM, le niveau de privilège le plus élevé sous Windows. La divulgation est intervenue en même temps que le Patch Tuesday de juin 2026 de Microsoft, qui corrigeait environ 200 vulnérabilités, et la faille affiche un score CVSS de 9,6.

Ce qui s'est passé

Les chercheurs décrivent RoguePlanet comme une situation de compétition de type « time-of-check to time-of-use » (TOCTOU) dans la logique de traitement des fichiers de Defender. Comme Defender s'exécute en tant que SYSTEM, un attaquant qui remporte la course peut détourner une opération de fichier réalisée par l'antivirus vers du code qu'il contrôle, finissant par lancer un interpréteur de commandes doté des pleins droits SYSTEM. Selon les rapports, la technique a été démontrée comme fonctionnelle sur des systèmes Windows 10 et 11 ayant déjà installé les mises à jour de juin 2026, ce qui souligne qu'elle n'a pas été corrigée par le lot de correctifs du mois.

Microsoft référence le problème dans son Security Update Guide sous CVE-2026-47281, et une exploitation active a été signalée. Comme souvent avec les failles d'élévation de privilèges nouvellement apparues, les détails précis de l'attaque, l'ensemble complet des configurations concernées et l'état du correctif étaient encore en cours de clarification au moment de la divulgation.

Pourquoi c'est important

L'élévation de privilèges est rarement la première étape d'une intrusion, mais elle en est presque toujours une étape décisive : les attaquants disposant déjà d'un point d'ancrage — par hameçonnage, par un identifiant volé ou par un autre exploit — utilisent ce type de faille pour passer d'un compte utilisateur limité à SYSTEM, d'où ils peuvent désactiver les défenses, récolter des identifiants et se déplacer latéralement. Une faille dans Defender lui-même est particulièrement sensible, car le contrôle de sécurité censé détecter et contenir les attaquants devient le vecteur même de la prise de contrôle complète de la machine.