Microsoft under fire for threatening security researcher with criminal investigation
Microsoft menace d'engager des poursuites pénales contre un chercheur en sécurité, connu sous le pseudonyme « Nightmare Eclipse », après la publication de six vulnérabilités « zero-day » affectant Windows. Ce conflit, qui s'intensifie ce 29 mai 2026,…
Microsoft menace d’engager des poursuites pénales contre un chercheur en sécurité, connu sous le pseudonyme « Nightmare Eclipse », après la publication de six vulnérabilités « zero-day » affectant Windows. Ce conflit, qui s’intensifie ce 29 mai 2026, oppose la vision rigide de la divulgation coordonnée du géant tech aux griefs d’un expert se disant blacklisté par l’entreprise.
Six failles critiques et un risque d’exploitation immédiat
L’escalade a débuté avec la divulgation d’une série de bugs non corrigés touchant des composants vitaux de l’écosystème Windows, notamment le moteur antivirus intégré Defender et l’outil de chiffrement de disque BitLocker. Selon TechCrunch, ces failles ont été rendues publiques accompagnées de codes d’exploitation, transformant ces vulnérabilités en véritables armes numériques avant même que Microsoft ne puisse intervenir.
cluster (priority): The Hacker News
Le bilan technique est préoccupant. Six vulnérabilités ont été identifiées, dont trois sont déjà activement exploitées par des pirates dans le monde réel :
YellowKey (CVE-2026-45585) : Non corrigée, exploitation jugée « plus probable » en raison d’un code de preuve de concept fonctionnel.
GreenPlasma : Non corrigée.
MiniPlasma : Non corrigée.
L’agence américaine de cybersécurité CISA et Microsoft confirment que l’exposition de ces codes a créé un risque inutile pour les clients, laissant la porte ouverte à des attaques ciblées sur des systèmes non patchés.
La réponse musclée de la Digital Crimes Unit
Face à ce qu’il considère comme un acte irresponsable, Microsoft a déployé son arsenal juridique et technique. Le Microsoft Security Response Center (MSRC) a exprimé son mécontentement dans un billet de blog, rappelant que la pratique standard de l’industrie est la Divulgation Coordonnée des Vulnérabilités (CVD), qui impose d’informer le constructeur avant toute publication.
« Les divulgations non coordonnées qui mettent du code de preuve de concept pour des vulnérabilités non corrigées entre les mains d’acteurs malveillants ne sont jamais justifiables et ont des conséquences dans le monde réel. »
cluster (priority): The Register
Microsoft Security Response Center, via Heise Online
L’entreprise ne se contente pas de critiques administratives. Elle a mobilisé sa Digital Crimes Unit, une entité dont la mission inclut les actions civiles, les contre-mesures techniques et les signalements pénaux. Microsoft a explicitement déclaré que son unité continuerait à poursuivre les acteurs malveillants ainsi que « ceux qui permettent leur activité criminelle », en coordination avec les forces de l’ordre mondiales.
Cette menace de judiciarisation marque un tournant agressif. Microsoft a déjà utilisé son influence pour faire supprimer les comptes du chercheur sur GitHub — plateforme qu’elle possède — et sur GitLab, où le code avait été temporairement migré.
Le récit de « Nightmare Eclipse » et la menace du 14 juillet
De son côté, le chercheur, alias Nightmare Eclipse (ou Chaotic Eclipse), rejette totalement la version officielle. Il affirme avoir tenté de communiquer avec Microsoft, mais avoir été accueilli avec mépris. Selon The Register, le bug hunter soutient que Microsoft a supprimé son compte MSRC, le privant ainsi de tout canal officiel pour signaler les failles.
« Quand j’ai activement demandé que vous communiquiez avec moi, vous avez refusé, vous m’avez humilié et vous vous êtes assuré de m’insulter devant les gens. Vous me diffamez publiquement avec votre avis CVE-2026-45585 alors que vous avez littéralement supprimé le compte Microsoft que j’utilisais pour vous signaler des bugs. »
Nightmare Eclipse, via The Register
L’amertume du chercheur s’est transformée en une promesse de représailles numériques. Nightmare Eclipse a fixé une date précise, le 14 juillet, pour une nouvelle publication massive de données, promettant que Microsoft verra « ses os brisés » ce jour-là. Il suggère également que Microsoft détient encore certains « documents » qui l’empêchent de publier d’autres révélations avant la fin du mois de juin.
Microsoft n’a pas répondu aux questions concernant l’identité du chercheur, notamment pour savoir s’il s’agit d’un employé actuel ou ancien de l’entreprise.
Le dilemme éthique de la divulgation et l’effet Streisand
Cette confrontation soulève un débat fondamental sur la sécurité informatique : jusqu’où un géant technologique peut-il contraindre les chercheurs ? Si la CVD est l’idéal théorique, la réalité est souvent plus conflictuelle. Comme le souligne The Hacker News, la menace de poursuites judiciaires peut s’avérer contre-productive.
cluster (priority): heise online
Un guide juridique publié en 2020 par la Cyberlaw Clinic de Harvard Law School et l’Electronic Frontier Foundation (EFF) avertit que les menaces de litiges réduisent la volonté des chercheurs de coopérer. Les organisations matures évitent généralement ces tactiques, car elles comprennent que l’intimidation dissuade les futurs signalements de failles, laissant ainsi le système plus vulnérable à long terme.
En choisissant la voie de la menace pénale, Microsoft s’expose à un « effet Streisand » : en tentant de faire taire Nightmare Eclipse, l’entreprise a attiré une attention mondiale sur ses propres lacunes de sécurité et sur la toxicité présumée de son processus de gestion des bugs. Le risque est désormais double. Non seulement Windows reste vulnérable à des failles comme YellowKey, mais la communauté des chercheurs pourrait désormais percevoir Microsoft comme un adversaire plutôt que comme un partenaire.
Le dénouement de cette guerre froide numérique se jouera probablement le 14 juillet. D’ici là, la question demeure : Microsoft protège-t-elle ses clients ou tente-t-elle simplement de protéger son image en criminalisant la recherche en sécurité ?
Nicolas Lefèvre couvre l’actualité française, de la vie politique aux questions sociales et économiques. Il privilégie les explications claires, les faits datés et les informations directement utiles au lecteur.
