Microsoft Defender met en quarantaine les certificats racine DigiCert sur des centaines de millions de PC

Une mise à jour de signatures publiée le 30 avril 2026 ^[1] a transformé l’antivirus par défaut de Windows en saboteur de la chaîne de confiance numérique. Microsoft Defender s’est mis à classer deux certificats racine légitimes de DigiCert ^[2] comme un cheval de Troie baptisé Trojan:Win32/Cerdigent.A!dha ^[3], déclenchant une vague de faux positifs sur des machines Windows à travers le monde ^[4].

LES ENJEUX

Chaîne de confiance Windows fragilisée

Les certificats racine DigiCert présents sur des centaines de millions de machines ont été retirés du magasin AuthRoot, brisant HTTPS et signatures logicielles.

Faux positif déclenché par une vraie compromission

Microsoft a réagi à l'incident DigiCert du 2 avril en calibrant ses signatures trop large, transformant la défense en perturbation massive.

Réactions disproportionnées des utilisateurs

Plusieurs utilisateurs ont réinstallé complètement Windows par crainte d'une infection inexistante, faute d'information rapide.

60 certificats révoqués chez DigiCert

L'incident d'origine reste sérieux: 27 certificats ont servi à signer des malwares dont Zhong Stealer.

Calibrage des signatures antivirus en question

Aucun autre antivirus testé (SentinelOne, MalwareBytes, Arctic Wolf) n'a flaggé les certificats - seul Defender l'a fait.

Les deux certificats visés - DigiCert Assured ID Root CA et DigiCert Trusted Root G4 ^[2] - ne sont pas des fichiers anodins. Ils sont installés sur des centaines de millions de machines ^[5] et servent de socle à la validation des connexions HTTPS et à la signature des logiciels légitimes. Quand Defender les a placés en quarantaine, les conséquences ont été immédiates: connexions sécurisées défaillantes, sites web affichant des erreurs, applications refusant de se lancer ^[6].

Une réaction trop agressive à une vraie compromission

Le faux positif n’est pas sorti de nulle part. Il découle d’un incident de sécurité réel survenu chez DigiCert le 2 avril 2026 ^[8]. Des attaquants ont visé le personnel du support client via des messages piégés contenant un fichier ZIP malveillant déguisé en capture d’écran ^[9]. Après plusieurs tentatives, l’appareil d’un analyste de support a été compromis, suivi d’un second système resté indétecté en raison d’une faille dans la protection des endpoints ^{[10] [11]}.

Avec cet accès, les attaquants ont obtenu des codes d’initialisation pour un nombre limité de certificats de signature de code ^[12]. Ils ont généré 27 certificats frauduleux ^[13], dont certains ont servi à signer des malwares - notamment Zhong Stealer ^[14]. DigiCert a révoqué 60 certificats au total dans les 24 heures suivant la découverte ^[15], en fixant la date de révocation à celle de leur émission ^[16]. Plusieurs chercheurs en cybersécurité - Squiblydoo, MalwareHunterTeam et g0njxa ^{[17] [18] [19]} - avaient observé des certificats DigiCert EV utilisés dans des campagnes malveillantes attribuées au groupe criminel chinois GoldenEyeDog (alias APT-Q-27) ^[20], également associé à Zhong Stealer.

C’est en réaction à cette compromission que Microsoft a renforcé en urgence les détections de Defender ^[21]. Mais la mise à jour des signatures, version 1.449.377.0 ^[22], publiée le 30 avril, a été calibrée trop large: au lieu de cibler uniquement les certificats frauduleux, elle a flaggé les certificats racine parfaitement ^[23].

Trois jours de panique: pourquoi les utilisateurs ont réinstallé Windows

Sur les machines touchées, les certificats ont disparu du magasin de confiance Windows, sous la clé de registre HKLMSOFTWAREMicrosoftSystemCertificatesAuthRootCertificates ^[24]. Les forums Reddit se sont enflammés ^[4]. Un utilisateur raconte avoir vu la menace réapparaître après chaque suppression sur plusieurs heures ^[25]. Un autre, persuadé d’être infecté, a réinitialisé complètement Windows ^[26]. Plusieurs ont procédé à une réinstallation totale du système d’exploitation par précaution ^[27].

Ces réactions extrêmes interrogent. Sur les mêmes fichiers, SentinelOne, Arctic Wolf et MalwareBytes n’ont déclenché aucune alerte ^{[28] [29]}: un faux positif isolé chez un seul éditeur est, en cybersécurité, un signal classique de calibrage défectueux plutôt que de menace réelle. Mais ce raisonnement, évident pour un analyste SOC aguerri, ne l’est pas pour l’utilisateur final - ni pour les petites structures sans équipe sécurité dédiée. La consigne réflexe face à une alerte trojan persistante reste « nuke and pave »: tout effacer, tout réinstaller. Or pendant les premières heures, Microsoft n’a publié aucune communication grand public expliquant que la détection était erronée. Sur ce vide, la panique s’est installée. La leçon dépasse l’incident: la pédagogie autour des faux positifs - et la rapidité de l’aveu d’erreur - reste l’angle mort de la communication de crise des grands éditeurs antivirus.

La déclaration officielle de Microsoft

Interrogé par BleepingComputer, Microsoft a fini par reconnaître l’erreur: « Following reports of compromised certificates Microsoft Defender immediately added detections for malware in our Defender Antivirus Software to help keep customers protected. Earlier today we determined false positive alerts were mistakenly triggered and updated the alert logic » ^[31]. Traduction: nous avons réagi vite à la compromission DigiCert, et nos alertes étaient erronées.

DigiCert, de son côté, martèle que ses certificats « demeurent sûrs et fiables » ^[32] et que l’incident de Defender ne reflète aucune nouvelle compromission ^[30]. Le 3 mai à 12h11 EDT ^[33], les utilisateurs de Microsoft XDR ont été notifiés de l’incident ^[33].

Le correctif et ce qui reste à faire

Microsoft a publié la mise à jour Security Intelligence version 1.449.430.0 ^[34], suivie de 1.449.431.0 ^[35], qui restaure automatiquement les certificats supprimés sur les systèmes impactés ^[36]. Aucune action manuelle n’est requise au-delà de la mise à jour complète de Defender ^[37]. Les utilisateurs peuvent forcer la mise à jour via Sécurité Windows > Protection contre les virus et menaces > Mises à jour de la protection > Rechercher des mises à jour ^[38].

Le calibrage des signatures Defender, angle mort du déploiement mondial

L’industrie antivirus a depuis longtemps codifié un pipeline standard de validation des signatures avant déploiement mondial: détection sur échantillon, test en environnement de staging, déploiement progressif par anneaux (cercle interne, puis cercle élargi, puis grand public), avec télémétrie de retour permettant de stopper le déploiement si un pic de faux positifs apparaît. Sur le papier, ce filtrage est censé empêcher qu’une signature trop large atteigne des centaines de millions de postes ^[5] avant qu’un humain ne la corrige.

Or, la version 1.449.377.0 du 30 avril ^[22] est passée à travers ce filet. Comment une signature trop agressive ciblant des empreintes de certificats - des certificats racine présents par défaut sur quasiment toutes les installations Windows de la planète - a-t-elle pu être validée et poussée sans déclencher d’alerte de pré-production? La signature aurait dû être confrontée, en staging, à au moins une machine équipée de Windows standard contenant les certificats racine DigiCert: le faux positif était mécaniquement détectable. Microsoft n’a pour l’heure publié aucun post-mortem expliquant à quel stade exact le filtre a manqué, ni quelles modifications de processus l’éditeur entend mettre en place. Le manque de voix dissonante publique sur ce calibrage - aucune source consultée ne questionne frontalement le pipeline - laisse la question entière.

Une mécanique récurrente du secteur

Ce n’est pas la première fois qu’une mise à jour antivirus fait plus de dégâts qu’une cyberattaque réelle. On se souvient du précédent CrowdStrike de juillet 2024, lorsqu’une mise à jour défectueuse du capteur Falcon avait paralysé des millions de machines Windows à travers le monde, clouant au sol compagnies aériennes, hôpitaux et chaînes télévisées, selon plusieurs sources. À chaque fois, le même schéma: un éditeur réagit vite à une menace réelle ou supposée, calibre trop large, et déploie sans frein. La signature 1.449.377.0 de Defender s’inscrit dans cette lignée - en moins létale, mais selon la même mécanique.

L’angle mort: qui paie pour les OS réinstallés?

Aucune des sources consultées ne quantifie le nombre exact de machines affectées, ni le coût pour les utilisateurs et entreprises ayant procédé à des réinstallations complètes. La question de la responsabilité - et celle, plus large, du calibrage des signatures déployées en urgence sur des centaines de millions de postes ^[5] - reste entière. L’article 1240 du Code civil prévoit qu’un dommage causé par négligence engage la responsabilité de son auteur, mais les conditions générales d’utilisation des antivirus grand public excluent en pratique presque toute indemnisation. Le précédent CrowdStrike de 2024 montre la limite de l’exercice: malgré des pertes documentées importantes, les recours collectifs engagés contre l’éditeur peinent encore à aboutir, selon plusieurs sources.