Un chercheur a publié le code d’exploitation d’une faille Windows que Microsoft n’a pas encore corrigée. Baptisée SignDrop, elle ne permet pas d’entrer dans un ordinateur à distance. Elle peut toutefois transformer un accès limité en contrôle complet de la machine, ce qui mérite une attention particulière tant qu’aucun correctif n’est offert.
Point de situation au 13 novembre 2026. Microsoft n’a publié ni correctif, ni identifiant CVE, ni déclaration sur SignDrop. Aucune attaque exploitant cette faille n’a été rapportée dans les sources consultées. Cet article sera mis à jour lorsque Microsoft réagira.
Que s’est-il passé ?
Le 10 novembre 2026, jour des mises à jour mensuelles de Microsoft, le chercheur Abdelhamid Naceri, connu sous le nom de Nightmare Eclipse, a publié sur GitHub une preuve de concept nommée SignDrop. Selon lui, elle permet à un utilisateur ordinaire d’obtenir les droits SYSTEM, le niveau le plus élevé sur un poste Windows. BleepingComputer.
Le chercheur dit l’avoir testée sur Windows 11 26H2 et sur des versions expérimentales de Windows Server 2025. Microsoft n’a pas encore confirmé la liste des versions touchées. SecurityWeek.
La firme Cyderes a compilé et testé le code avec succès, sans trouver de preuve d’exploitation réelle. Une équipe de 78researchlab confirme aussi qu’il fonctionne, mais le juge trop peu fiable pour un usage opérationnel. SecurityWeek, The Hacker News. La faille ne figure pas au catalogue des vulnérabilités exploitées de l’agence américaine de cybersécurité (CISA).
Comment fonctionne la faille ?
SignDrop détourne une protection ajoutée par Microsoft en octobre 2025 à CLFS, le composant de Windows qui gère certains journaux système. Cette protection authentifie les fichiers journaux pour empêcher qu’ils soient altérés. Elle accompagne les mises à jour de Windows 11 25H2 et de Windows Server 2025 publiées depuis le 28 octobre 2025 ; une période d’apprentissage d’environ 90 jours précède normalement l’application stricte des contrôles. Microsoft.
La faille se trouve dans la façon dont Windows crée un fichier auxiliaire associé à un journal. Le code publié amène un processus privilégié, en l’occurrence Microsoft Defender, à créer ce fichier avec les droits SYSTEM, ce qui ouvre la voie à une prise de contrôle. Le chercheur affirme que d’autres antivirus pourraient servir de la même façon, sans que cela ait été testé. The Hacker News.
Vos systèmes sont-ils concernés ?
Microsoft n’a pas encore publié de liste officielle. D’ici là, les versions à surveiller en priorité sont celles où la protection détournée est présente : Windows 11 25H2 et versions plus récentes, ainsi que Windows Server 2025, à jour depuis la fin d’octobre 2025. Les essais du chercheur portent sur Windows 11 26H2 et des versions expérimentales de Windows Server 2025.
Demandez à votre responsable TI de dresser l’inventaire des postes et des serveurs qui utilisent ces versions. Ce seront les premiers à mettre à jour lorsque le correctif sera publié. Les vérifications techniques détaillées relèvent d’un guide d’administration, pas d’un test improvisé.
Ce qu’elle permet, et ce qu’elle ne permet pas
Il s’agit d’une élévation de privilèges locale. Un attaquant doit d’abord exécuter du code sur l’ordinateur avec un compte ordinaire, par exemple après l’ouverture d’une pièce jointe piégée ou grâce à un mot de passe volé. SignDrop ne permet pas, à lui seul, de pénétrer un réseau depuis Internet.
Ce type de faille reste sérieux. Une fois les droits SYSTEM obtenus, un attaquant peut désactiver des protections, installer des logiciels malveillants persistants ou chercher à atteindre d’autres machines. C’est souvent une étape intermédiaire dans les attaques par rançongiciel.
Les mesures à prendre
Ce qu’il ne faut pas faire
Ne désactivez pas Microsoft Defender. Le code publié s’en sert, mais retirer l’antivirus exposerait vos postes à des menaces bien plus courantes.
Ne désactivez pas l’authentification CLFS. Microsoft le déconseille explicitement. Cette protection a été ajoutée pour bloquer d’anciennes failles du même composant ; la retirer rouvrirait ces risques. Microsoft.
N’exécutez pas le code de démonstration sur vos machines. Le chercheur suggère de l’utiliser pour vérifier si un appareil est vulnérable. Un code non vérifié n’a pas sa place sur un poste ou un serveur de production.
Ce qu’il faut faire
Réduire les accès de départ. Puisque l’attaquant doit d’abord exécuter du code, les protections habituelles gardent toute leur valeur : authentification multifacteur, filtrage du courriel, prudence avec les pièces jointes et contrôle des applications autorisées.
Limiter les connexions aux serveurs. Réservez les sessions locales et le bureau à distance aux personnes qui en ont réellement besoin, surtout sur les serveurs partagés.
Surveiller les postes. Une solution de détection et de réponse (EDR) bien configurée peut repérer des comportements anormaux, comme un processus privilégié qui crée des fichiers inattendus.
Appliquer le correctif dès sa publication. Suivez les annonces de Microsoft et prévoyez de déployer rapidement la mise à jour sur les postes et les serveurs concernés.
Revoir la sécurité de votre parc avec Nuagerie
Notre équipe peut vous aider à appliquer ces mesures, à surveiller vos postes et à déployer les correctifs dès qu’ils sont offerts. Découvrez nos services TI gérés et nos services de cybersécurité et sauvegardes.
Pour un service existant, retrouvez nos coordonnées dans la page d’assistance. Pour faire le point sur votre environnement, parlons de vos besoins.
