Que s'est-il passé ? – Nouvelle vulnérabilité du shell Windows après un correctif insuffisant
Microsoft est de nouveau confronté à une faille de sécurité critique dans le shell Windows. Après que le groupe APT28, connu sous le nom de Fancy Bear, avait déjà exploité la vulnérabilité CVE-2026-21510 dans la nature, le correctif de février de Microsoft s'est révélé insuffisant. Ce correctif défaillant a laissé subsister une nouvelle faille, CVE-2026-32202, qui fait désormais elle aussi l'objet d'attaques actives.
Microsoft a classé la nouvelle vulnérabilité avec un score CVSS de 4.3 (risque « moyen ») et l'a corrigée lors du Patch Day d'avril. Au cours de la journée de lundi, les développeurs ont toutefois mis à jour la fiche de vulnérabilité avec une information inquiétante : la faille d'usurpation dans le shell Windows est désormais exploitée par des acteurs malveillants dans la nature.
Les détails – un exploit zero-click permettant une authentification NTLM automatique
Alors que Microsoft juge les conséquences de la nouvelle vulnérabilité moins graves que celles de la faille initiale, une analyse d'Akamai dresse un tableau plus préoccupant. Les experts en sécurité informatique classent CVE-2026-32202 comme une vulnérabilité zero-click – contrairement à l'appréciation de Microsoft, selon laquelle les victimes doivent exécuter un fichier malveillant.
Le problème réside dans un chemin de code négligé : lors de l'affichage de répertoires, l'Explorateur Windows tente automatiquement d'extraire des fichiers LNK les icônes des fichiers cibles. Une vérification de chemin a alors lieu, susceptible d'établir une connexion vers des serveurs SMB tiers – sans autre interaction de l'utilisateur.
Le mécanisme d'attaque en détail
L'attaque fonctionne de la manière suivante : un fichier LNK contient un lien vers un serveur distant, par exemple « \\attacker.com\share\payload.cpl ». Dès que la victime ouvre le répertoire correspondant, la machine établit automatiquement une connexion vers le serveur SMB et lance une authentification NTLM. Le hachage Net-NTLMv2 de la machine victime est alors transmis aux attaquants.
Ces valeurs de hachage peuvent ensuite être détournées pour des attaques par relais NTLM et du cassage hors ligne, ce qui ouvre aux attaquants de larges possibilités d'attaques ultérieures.
Mise en perspective – pourquoi cette vulnérabilité est particulièrement dangereuse
Le danger de cette vulnérabilité réside dans son apparente innocuité. Alors que la faille initiale CVE-2026-21510 permettait l'exécution de code malveillant depuis le réseau, la nouvelle vulnérabilité paraît à première vue moins menaçante. Microsoft la décrit comme une faille d'usurpation à risque moyen.
En réalité, elle offre pourtant aux attaquants un accès zero-click à des données d'authentification sensibles. Dans les environnements d'entreprise, où des systèmes de sécurité tels que le contrôle d'accès et la vidéosurveillance sont souvent administrés via le réseau, des hachages NTLM compromis peuvent ouvrir l'accès à des infrastructures de sécurité critiques.
Le fait qu'APT28 / Fancy Bear – un groupe de pirates soutenu par un État – exploite déjà les deux vulnérabilités souligne l'importance stratégique de ces vecteurs d'attaque pour les cybercriminels professionnels.
Conseils pratiques – mesures immédiates pour les responsables informatiques
Les administrateurs informatiques devraient prendre sans délai les mesures suivantes :
- Installation immédiate du correctif : la mise à jour d'avril de Microsoft doit être installée sans délai sur tous les systèmes Windows
- Supervision du réseau : surveillance des connexions SMB vers des serveurs externes, en particulier des tentatives d'authentification inattendues
- Sécurité de la messagerie : filtrage renforcé des pièces jointes, en particulier des fichiers LNK
- Durcissement NTLM : vérification et renforcement de la configuration NTLM dans l'Active Directory
Les exploitants d'infrastructures critiques telles que les systèmes de sécurité doivent faire preuve d'une vigilance particulière. Les coffres à dépôt, les troncs sécurisés et les systèmes modernes de contrôle d'accès reposent souvent sur le réseau et pourraient devenir attaquables via des comptes d'administrateur compromis.
Perspectives – enseignements et évolutions à venir
Ce cas illustre parfaitement les difficultés liées à la correction de systèmes logiciels complexes. Un correctif incomplet peut créer de nouveaux vecteurs d'attaque, rapidement identifiés et exploités par des attaquants expérimentés.
Pour le secteur de la sécurité, cela renforce la tendance aux architectures Zero Trust. Les concepts de sécurité traditionnels fondés sur le périmètre atteignent leurs limites lorsque les attaquants disposent déjà de données d'authentification légitimes.
Microsoft a annoncé une refonte en profondeur de l'authentification dans l'Active Directory. Cela pourrait, à moyen terme, conduire à l'abandon des concepts NTLM obsolètes, considérés depuis des années comme un risque de sécurité.
Les entreprises devraient saisir ces évolutions comme une occasion de repenser l'ensemble de leur stratégie de sécurité. Des solutions modernes telles que WardHub pour la gestion centralisée des systèmes de sécurité peuvent aider à protéger les zones critiques même en cas d'infrastructure réseau compromise.
La situation de menace va continuer à s'aggraver, les groupes soutenus par des États comme APT28 développant en permanence de nouveaux vecteurs d'attaque. Des mesures de sécurité proactives et des cycles de correctifs rapides deviennent donc une nécessité vitale pour l'activité.
