Ep.647 – RadioCSIRT Édition Française – Veille cybersécurité du samedi 16 mai 2026

Le chercheur Chaotic Eclipse, alias Nightmare-Eclipse sur GitHub, publie le vendredi 15 mai 2026 une cinquième divulgation publique non coordonnée en six semaines. Baptisée MiniPlasma, la vulnérabilité cible le driver Windows Cloud Files Mini Filter, cldflt.sys, chargé par défaut sur l’ensemble des installations Windows depuis Windows 10 1809. Le PoC public sur GitHub revendique l’obtention d’un shell SYSTEM sur Windows 11 et Windows Server 2025 entièrement patchés. Aucune CVE n’a été attribuée à ce jour, aucun correctif n’est en cours de publication par le Microsoft Security Response Center.

L’allégation centrale du chercheur est extraordinaire et requiert vérification : le patch de CVE-2020-17103, publié par Microsoft en décembre 2020 dans le cadre d’une série de quatre vulnérabilités découvertes par James Forshaw de Project Zero, ne serait, selon le message PGP signé, simplement pas présent sur les versions actuelles du driver. Trois hypothèses techniques sont actuellement sur la table sans qu’aucune ne soit définitivement écartée. Première hypothèse, la plus probable a priori, une variante du défaut d’origine non couverte par le patch initial, sur le modèle du bypass CVE-2025-55680 identifié par Exodus Intelligence sur le même driver. Deuxième hypothèse, une régression silencieuse du correctif au fil des refactorings successifs du driver. Troisième hypothèse intermédiaire, un correctif appliqué sur certaines branches du code mais non propagé après divergence vers Windows 11 et Windows Server 2025.

L’historique récent de cldflt.sys soutient l’analyse. Quatre CVE majeures en 18 mois sur le même driver. CVE-2025-55680 patchée en octobre 2025, dérivée d’une race TOCTOU découverte dès mars 2024. CVE-2025-62221 patchée en décembre 2025 alors qu’elle était déjà exploitée in-the-wild, sans publication d’indicateurs de compromission détaillés. Et désormais MiniPlasma. Le composant est manifestement structurellement fragile et continue d’attirer les chercheurs.

En l’absence de correctif éditeur, les équipes CERT et CSIRT disposent de plusieurs leviers de mitigation. Pour les serveurs sans usage cloud et les hôtes administrateurs, la désactivation conditionnelle du service CldFlt via la commande sc.exe config cldflt start= disabled supprime la surface d’attaque, sous réserve de validation fonctionnelle (impact sur OneDrive, SharePoint, certains workflows tiers). Pour les flottes utilisant intensivement OneDrive Files On-Demand, cette option n’est pas applicable. La détection EDR doit cibler les DeviceIoControl avec code 0x903BC vers le device \\.\HsmFlt\Hsm provenant de processus non privilégiés, et la création de DLL dans System32 ou SysWOW64 par des processus non SYSTEM. Le correctif officiel est à anticiper pour le Patch Tuesday de juin 2026, qui correspond également à la prochaine divulgation annoncée par Chaotic Eclipse.

Sources :

• Chaotic Eclipse, blog deadeclipse666, MiniPlasma a powerful LPE : https://deadeclipse666.blogspot.com/
• GitHub Nightmare-Eclipse/MiniPlasma : https://github.com/Nightmare-Eclipse/MiniPlasma
• Microsoft Security Response Center, CVE-2020-17103 : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2020-17103
• James Forshaw, Project Zero, Hunting for Bugs in Windows Mini-Filter Drivers : https://googleprojectzero.blogspot.com/2021/01/hunting-for-bugs-in-windows-mini-filter.html
• Exodus Intelligence, Microsoft Windows Cloud Files Minifilter TOCTOU Privilege Escalation, CVE-2025-55680 : https://blog.exodusintel.com/2025/10/20/microsoft-windows-cloud-files-minifilter-toctou-privilege-escalation/
• Microsoft Security Response Center, CVE-2025-62221 : https://msrc.microsoft.com/update-guide/vulnerability/CVE-2025-62221
• Analyse complète sur le blog : https://blog.marcfredericgomez.fr/miniplasma-chaotic-eclipse-rouvre-cldflt-sys-et-relance-la-question-de-la-durabilite-des-patches-microsoft/

⚡️ On ne réfléchit pas, on patch !

📞 Répondeur : 07 68 72 20 09
📩 Email : radiocsirt@gmail.com
🌐 Site : https://www.radiocsirt.org
📰 Newsletter : https://radiocsirt.substack.com

#CyberSecurity #CERT #CSIRT #ThreatIntelligence #Windows #cldflt #CloudFiles #PrivilegeEscalation #LPE #ChaoticEclipse #NightmareEclipse #MiniPlasma #YellowKey #Microsoft #MSRC #SilentPatching #PatchTuesday #VulnerabilityManagement #RadioCSIRT