Microsoft condamne la divulgation de failles 0-day par un chercheur en sécurité revanchard

Microsoft a officiellement condamné, le 29 mai 2026, la divulgation de failles 0-day par un ancien chercheur en sécurité de la firme, connu sous le pseudonyme « Nightmare Eclipse ». Depuis avril 2026, ce dernier a révélé six vulnérabilités affectant des outils Microsoft, en publiant à chaque fois un code de preuve de concept sur GitHub. Il a ainsi rendu ces failles 0-day accessibles aux attaquants comme aux professionnels de la sécurité.

Nightmare Eclipse a depuis supprimé son compte GitHub. Les trois premières vulnérabilités, « BlueHammer », « UnDefend » et « RedSun », divulguées en avril, ont été exploitées lors d’intrusions réelles, selon les bulletins de sécurité de Microsoft. Les trois autres ne font pour l’heure l’objet d’aucun correctif ni d’aucune exploitation connue.

Nightmare Eclipse reproche à Microsoft de l’avoir licencié, de ne pas lui avoir versé certaines primes et d’avoir retiré son nom d’au moins un avis de cybersécurité. « J’aurais pu gagner une fortune en vendant ces vulnérabilités, mais aucune somme d’argent ne pourra m’empêcher de mener ma lutte contre Microsoft », a-t-il déclaré. Il a menacé de publier de nouvelles failles critiques le 14 juillet.

« Nous restons opposés à ces actions et à toute divulgation non coordonnée susceptible de nuire à nos clients et à l’écosystème numérique. La mise à disposition de preuves de concept pour des failles non corrigées entre les mains d’acteurs malveillants n’est jamais justifiable et entraîne des conséquences concrètes », lit-on dans la réponse de Microsoft. Pour l’heure, la firme n’a pas engagé de poursuites judiciaires contre son ancien employé.