Un chercheur en sécurité connu sous le pseudonyme Nightmare Eclipse a divulgué plusieurs failles critiques de Windows, dont certaines déjà exploitées par des attaquants. En réponse, Microsoft a brandi la menace de poursuites, qualifiant ces divulgations d’injustifiables. La réaction de l’entreprise suscite une vive controverse dans la communauté de la cybersécurité.

Selon Les Numériques, le chercheur Nightmare Eclipse a révélé six vulnérabilités majeures de Windows entre le début du mois d’avril et la mi-mai 2026, sans coordination préalable avec l’éditeur. Trois d’entre elles, désignées sous les noms BlueHammer, RedSun et UnDefend, étaient déjà exploitées dans des attaques réelles au moment de leur divulgation.

La divulgation publique de failles non corrigées, sans délai laissé à l’éditeur pour les colmater, est une pratique sensible. Elle peut exposer les utilisateurs à des attaques, mais elle est parfois présentée comme un moyen de pression pour forcer une correction rapide.

La riposte de Microsoft

Le 28 mai, Microsoft, entreprise membre du Forum économique mondial, a publié un billet de blog officiel qualifiant ces divulgations de jamais justifiables. L’éditeur a averti que son unité dédiée à la cybercriminalité poursuivrait toute personne facilitant des activités criminelles par la diffusion de codes d’exploitation.

Cette posture offensive marque un durcissement de l’entreprise face à la divulgation non encadrée de vulnérabilités. Elle s’inscrit dans une stratégie de protection de son écosystème et de ses utilisateurs.

Une communauté de chercheurs inquiète

De son côté, Nightmare Eclipse affirme avoir voulu signaler les failles à Microsoft par le canal officiel, le centre de réponse aux incidents de sécurité, mais l’éditeur aurait révoqué son accès à ce portail avant toute publication. Cette version, si elle se confirmait, nuancerait la responsabilité du chercheur.

De nombreux experts en sécurité critiquent l’approche de Microsoft, redoutant que de telles menaces ne découragent la recherche de vulnérabilités et la remontée responsable des failles. Le débat met en lumière la fragilité de l’équilibre entre éditeurs et chercheurs.

L”affaire Nightmare Eclipse cristallise une tension de fond dans la cybersécurité, entre divulgation responsable et protection des éditeurs. La menace de poursuites brandie par Microsoft pourrait, selon ses détracteurs, fragiliser un écosystème reposant largement sur la coopération.

Source : Les Numériques