Microsoft Defender : RedSun et UnDefend restent non patchés

Ce qui s'est passé

Entre le 10 et le 16 avril 2026, trois failles zero-day visant Microsoft Defender ont été divulguées publiquement, puis exploitées dans la foulée. La première, baptisée BlueHammer et référencée CVE-2026-33825, a été corrigée dès le Patch Tuesday d'avril. Les deux suivantes, RedSun et UnDefend, ont été publiées par le même chercheur — signant sous l'alias « Chaotic Eclipse » — en représailles à ce qu'il décrit comme un mépris de l'éditeur envers son signalement initial. Or, à ce jour, aucun correctif n'est disponible : le Microsoft Defender zero-day RedSun, tout comme UnDefend, reste pleinement exploitable et permet de neutraliser les mécanismes de protection de l'antivirus intégré à Windows. Des millions de postes demeurent ainsi exposés, contraignant les équipes de sécurité à déployer des mesures de contournement en attendant une réponse officielle de Redmond.

RedSun exploite le mécanisme de restauration cloud de Defender : lorsque l'antivirus détecte un fichier cloud-tagged, il tente de le rétablir à son emplacement d'origine sans valider le chemin cible. Un attaquant local peut détourner cette opération d'écriture vers un répertoire privilégié, puis charger sa propre DLL exécutée avec les droits SYSTEM. UnDefend, de son côté, intercepte le canal de mise à jour des signatures et provoque un déni de service permanent sur le téléchargement des définitions : Defender continue de tourner, mais sans protection actualisée.

Huntress, qui surveille ces signatures sur son parc client, confirme avoir vu RedSun et UnDefend utilisés dans des attaques réelles dès le 16 avril. Microsoft n'a pas encore publié de correctif pour ces deux failles, et aucun avis MSRC ne mentionne un calendrier de patch out-of-band.

Pourquoi c'est important

Defender est l'EDR par défaut sur plus de 1,4 milliard de machines Windows. Lorsqu'un chercheur publie un zero-day de privilèges SYSTEM actif, la fenêtre entre divulgation et exploitation massive se compte en heures, pas en jours. Le combo RedSun + UnDefend est particulièrement toxique : le premier fournit la persistance privilégiée, le second garantit que les détections futures n'arriveront jamais. C'est exactement le type d'enchaînement que recherchent les opérateurs de ransomware pour passer de l'accès initial à l'encryption.

Pour les DSI, cela implique une réévaluation immédiate des contrôles compensatoires : Application Control (WDAC), règles ASR, Credential Guard. Et surtout, ne pas compter sur les définitions Defender pour protéger contre ce vecteur tant que Microsoft n'aura pas publié de correctif.

Ce qu'il faut retenir

• BlueHammer (CVE-2026-33825) est patché depuis le Patch Tuesday d'avril — appliquer la mise à jour de sécurité en priorité si ce n'est pas fait.
• RedSun et UnDefend n'ont aucun correctif : durcir les politiques ASR, surveiller les écritures dans %ProgramData%\Microsoft\Windows Defender\Platform et tout arrêt soudain de mise à jour de signatures.
• Un EDR tiers en couche secondaire (ou Defender for Endpoint configuré en mode complémentaire) limite le risque que UnDefend laisse un poste aveugle.

Ce n'est pas la première fois que Defender se retrouve exposé par une faille de type « restauration cloud non validée ». En 2023 déjà, un chercheur avait démontré qu'un attaquant local pouvait abuser du même mécanisme de mise en quarantaine pour écrire des fichiers arbitraires — Microsoft avait alors corrigé en moins de trois semaines. Le délai actuel, désormais supérieur à sept jours sans avis MSRC ni date de patch out-of-band, tranche avec cette réactivité historique et alimente les critiques sur la gestion des divulgations publiques par le Microsoft Security Response Center. Plusieurs chercheurs indépendants estiment que la publication de RedSun et UnDefend par « Chaotic Eclipse » relève d'une divulgation dite « hostile » — motivée par un différend avec le MSRC plutôt que par une volonté de responsible disclosure classique — ce qui explique l'absence de fenêtre de grâce habituellement négociée avant publication.

L'impact sectoriel se concentre pour l'instant sur les environnements surveillés par des MSSP et MDR, Huntress en tête, qui bénéficient d'une visibilité directe sur les tentatives d'exploitation via leurs capteurs déployés chez leurs clients TPE/PME — un segment historiquement sous-doté en EDR alternatif et donc structurellement dépendant de Defender comme unique ligne de défense. Sophos et CrowdStrike ont depuis publié des règles de détection comportementale ciblant la séquence caractéristique de RedSun (écriture hors chemin lors d'une opération de restauration cloud suivie du chargement d'une DLL non signée), mais ces signatures ne couvrent que les environnements équipés d'un EDR tiers en complément de Defender — une configuration minoritaire chez les petites structures. Sur le plan chiffré, Huntress rapporte une dizaine d'incidents confirmés impliquant RedSun entre le 16 et le 17 avril, principalement sur des postes Windows 10 et Windows 11 non isolés du réseau, avec un délai moyen de moins de quatre heures entre l'accès initial et l'élévation SYSTEM lorsque la chaîne UnDefend + RedSun est utilisée conjointement.

Pour les entreprises françaises, l'exposition reste significative compte tenu de la part de marché de Defender sur le parc Windows professionnel national, où il constitue souvent la seule protection active faute de budget pour un EDR tiers. L'ANSSI n'a pas encore émis d'alerte CERT-FR spécifique à ces deux CVE au moment de la rédaction, mais un bulletin est jugé probable si Microsoft ne publie pas de correctif avant le prochain Patch Tuesday de mai 2026. En l'absence de patch officiel, les équipes sécurité sont invitées à s'appuyer sur les indicateurs de compromission publiés par Huntress — notamment la présence de DLL non signées dans les répertoires système récemment modifiés par le processus MsMpEng.exe — plutôt que d'attendre une correction qui pourrait encore prendre plusieurs jours.