Une faille bloque les mises à jour de Defender sans jamais l’éteindre

Le pire antivirus n’est pas celui qui s’arrête. C’est celui qui reste vert dans la barre des tâches pendant que ses signatures datent de trois semaines. C’est exactement ce que produit BigDiskBuster, une preuve de concept publiée le 22 septembre 2026 par le chercheur Abdelhamid Naceri, qui signe ses publications sous le pseudonyme NightmareEclipse.

Remplir le disque juste le temps d’une mise à jour

Le principe tient en trois gestes. Au moment où Defender lance sa mise à jour, l’outil crée des fichiers temporaires cachés qui avalent l’espace libre du disque. La mise à jour échoue faute de place. Les fichiers sont alors supprimés, et l’espace revient comme si de rien n’était.

Résultat : aucun message d’alerte, aucun disque plein à constater après coup, et un moteur qui tourne avec des définitions périmées. Un second volet vise MRT.exe, l’outil de suppression de logiciels malveillants de Windows : l’outil garde un handle ouvert dessus et empêche les autres processus d’y toucher.

(J’ai déjà vu un poste « protégé » par des signatures vieilles de 3 mois, et personne ne s’en était aperçu pendant tout ce temps : l’icône verte rassure tout le monde, sauf le malware 🙂)

Une douzaine de zero-days et un contentieux

Naceri ne découvre pas ces failles par hasard : il en publie près d’une douzaine depuis avril 2026, après un différend avec Microsoft lié à la rupture de son contrat en mars 2025. BigDiskBuster ressemble d’ailleurs à UnDefend, sorti en avril 2026, qui permettait déjà à un utilisateur sans privilèges de bloquer les définitions.

Le contrôle à faire ce matin

• Ouvrir Sécurité Windows, rubrique Protection contre les virus, et regarder la date des définitions plutôt que la couleur de l’icône.
• Chercher l’erreur 0x80070643 dans l’historique de Windows Update : c’est la signature d’un échec par manque d’espace.
• Si la date remonte à plus de 48 heures, lancer la mise à jour à la main et surveiller l’espace libre pendant l’opération.

Ce qu’on ne sait pas encore

Le tableau mérite deux réserves. D’abord, tout vient du chercheur : il affirme que son code fonctionne sur toutes les versions de Windows encore supportées, sans qu’aucune vérification indépendante ne l’ait confirmé, et il décrit lui-même sa publication comme une preuve de concept buggée qu’il faudrait réécrire. Ensuite, aucun CVE n’a été attribué, aucun correctif n’existe, et Microsoft n’a pas répondu aux sollicitations de la presse.

Dernier point de mesure : ce n’est pas un ver qui arrive par courriel. Il faut déjà exécuter quelque chose sur la machine. BigDiskBuster n’est pas la porte d’entrée, c’est ce qu’on fait une fois entré pour que la maison reste aveugle.

Le Bien Heureux · Redaction Capibara · Mercredi 23 septembre 2026