Alerte Rouge : La Faille Zero-Click CVE-2026-41089 de Windows Netlogon Désormais Exploitée Activment

Gravité et surface d'attaque

La CVE-2026-41089 affiche un score de base CVSS 3.1 de 9.8 (Critique) avec le vecteur AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H . En clair : elle est exploitable via le réseau, avec une faible complexité, ne nécessite aucun privilège et aucune interaction de l'utilisateur. La conséquence est une compromission totale de la confidentialité, de l'intégrité et de la disponibilité du système cible.

Les chercheurs en sécurité et les plateformes de renseignement sur les menaces décrivent cette vulnérabilité comme étant de nature « ver » (wormable) en raison de son exploitation avant authentification et du rôle central des contrôleurs de domaine dans les infrastructures Microsoft. Action1 résume le risque : « Un contrôleur de domaine vulnérable peut transformer une seule requête réseau malveillante en une voie royale vers la compromission de l'entreprise » . Jason Kikta, CTO d'Automox, a averti que « des forêts Active Directory à moitié corrigées ne constituent pas un état défendable pour une faille de contrôleur de domaine pré-authentification » et conseille aux administrateurs de restreindre le trafic Netlogon au niveau de la couche réseau en complément des correctifs .

Un code d'exploitation de type « preuve de concept » (PoC) public est apparu sur GitHub, ce qui, historiquement, accélère l'exploitation de masse dans un délai de 24 à 72 heures . Les organisations doivent partir du principe que des outils de scan et d'exploitation automatisés sont déjà en circulation.

Versions de Windows Server affectées

La vulnérabilité affecte toutes les versions prises en charge de Windows Server exécutant le service Netlogon qui n'ont pas été corrigées après le 12 mai 2026 . Les listes de produits publiées par plusieurs fournisseurs de sécurité et la base de données NVD (National Vulnerability Database) identifient les éditions vulnérables suivantes :

• Windows Server 2012 et 2012 R2 (toutes les installations, y compris Server Core)
• Windows Server 2016
• Windows Server 2019 (y compris Server Core)
• Windows Server 2022 (éditions 21H2, 22H2 et 23H2, y compris Server Core)
• Windows Server 2025

Le problème est présent dans le gestionnaire du protocole MS-NRPC et peut être déclenché via le port TCP 445 ou le port UDP 389 (utilisé par le localisateur de contrôleur de domaine CLDAP). Cela signifie que les voies d'exposition standard d'un contrôleur de domaine suffisent pour qu'un attaquant atteigne le composant vulnérable .

Disponibilité des correctifs

Mises à jour de sécurité officielles Microsoft

Microsoft a publié les correctifs pour la CVE-2026-41089 le 12 mai 2026 . Les organisations doivent appliquer immédiatement la mise à jour correspondant à leur version de Windows Server. La base de données de vulnérabilités de Rapid7 répertorie les identifiants KB suivants pour les versions prises en charge :

• Windows Server 2012 : KB5087470
• Windows Server 2012 R2 : KB5087471
• Windows Server 2016 (1607) : KB5087537
• Windows Server 2019 (1809) : KB5087538
• Windows Server 2022 (21H2/22H2) : KB5087545
• Windows Server 2022 (23H2) : KB5087541
• Windows Server 2025 (24H2) : KB5087539

Il est impératif de corriger tous les contrôleurs de domaine en une seule fenêtre de maintenance aussi compressée que possible, d'autant plus que la faille est activement exploitée .

Micropatch 0patch pour les systèmes obsolètes

Pour les organisations utilisant des versions de Windows Server qui ne sont plus officiellement prises en charge par Microsoft, la société ACROS Security a publié un micropatch gratuit, disponible via sa plateforme 0patch . Ce micropatch agit comme un correctif minimal et chirurgical : il divise par deux la taille maximale de la chaîne de nom d'utilisateur contrôlée par l'attaquant lors du traitement, ce qui neutralise le dépassement de pile sans altérer d'autres parties du code .

0patch a confirmé la disponibilité du micropatch pour :

• Windows Server 2012 (sans licence ESU)
• Windows Server 2012 R2 (sans licence ESU)

Ce micropatch est déployé via l'agent 0patch et s'applique directement en mémoire, sans nécessiter de redémarrage du système. Cela peut être particulièrement précieux pour les environnements où le redémarrage d'un contrôleur de domaine doit être soigneusement planifié. 0patch est un acteur reconnu de longue date pour fournir ce type de correctifs post-fin de support pour des failles critiques sur des systèmes comme Windows Server 2008 R2, 2012 et 2012 R2 .

Mesures d'urgence et guide de réponse

Appliquer le correctif supprime le chemin d'exploitation, mais ne détecte ni ne supprime un attaquant qui aurait pu exploiter la CVE-2026-41089 avant l'application du correctif. Le CCB avertit explicitement que le correctif protège contre de futures exploitations, mais ne corrige pas une compromission antérieure .

Actions principales recommandées par le CCB

1. Appliquer le correctif immédiatement, avec la plus haute priorité — Appliquez les mises à jour officielles Microsoft de mai 2026 à tous les contrôleurs de domaine. N'attendez pas la prochaine fenêtre de maintenance : il s'agit d'un scénario d'exploitation active .
2. Renforcer la surveillance et la détection — Intensifiez la surveillance de toute activité suspecte ciblant les contrôleurs de domaine, en particulier un trafic Netlogon inhabituel ou des modèles atypiques de requêtes RPC et LDAP .
3. Présumer une possible compromission antérieure — Tout contrôleur de domaine qui n'était pas corrigé et restait exposé au réseau entre le 12 mai et l'application du correctif doit faire l'objet d'une revue médico-légale à la recherche de signes d'intrusion .
4. Compresser la fenêtre d'application des correctifs — Appliquez le correctif à tous les contrôleurs de domaine en un minimum de cycles de maintenance. Une forêt Active Directory à moitié corrigée reste une forêt exploitable .
5. Re-vérifier après l'application du correctif — Ré-exécutez les scans de vérification du niveau de correctif et les évaluations d'exposition pour confirmer qu'aucun contrôleur de domaine vulnérable ne subsiste sur le réseau .

Mesures de défense complémentaires des experts

• Segmenter les contrôleurs de domaine — Restreignez l'accès réseau aux contrôleurs de domaine pour que seuls le trafic de gestion et d'infrastructure explicitement autorisé puisse les atteindre. Bloquez les ports liés à Netlogon (TCP 445, UDP 389) depuis les segments non fiables ou exposés sur Internet, à la fois en périphérie et sur les pare-feux internes.
• Restreindre le trafic Netlogon au niveau réseau — Au-delà des pare-feux locaux des machines, mettez en place des contrôles d'accès au niveau du réseau qui limitent les systèmes autorisés à initier des connexions vers les contrôleurs de domaine via les protocoles vulnérables.
• Durcir les chemins d'accès privilégiés — Vérifiez et réduisez au minimum les comptes ayant un accès privilégié aux contrôleurs de domaine. La compromission du compte SYSTEM d'un contrôleur de domaine conduit souvent directement au vol d'identifiants et aux mouvements latéraux .
• Surveiller l'activité post-exploitation — Soyez attentif aux comportements anormaux des services, aux redémarrages inopinés des contrôleurs de domaine, aux plantages du processus LSASS, à la création de nouveaux comptes administrateur et aux demandes de tickets Kerberos inhabituelles. Ces signaux peuvent indiquer une exploitation réussie ou des phases ultérieures d'attaque .
• Adopter une posture de compromission avérée — Jusqu'à ce qu'un examen médico-légal complet soit mené, traitez tous les contrôleurs de domaine qui étaient non corrigés comme potentiellement déjà compromis.

Note importante sur l'indice EPSS

Bien que la probabilité EPSS (Exploit Prediction Scoring System) pour la CVE-2026-41089 ait été initialement rapportée comme étant de 0,09% , il est crucial de comprendre qu'il s'agit d'un modèle probabiliste entraîné sur des données passées. Il ne tient pas compte d'une exploitation active déjà confirmée par des attaques réelles. Lorsqu'une autorité nationale de cybersécurité comme le CCB émet un avertissement d'exploitation avérée, les organisations doivent impérativement baser leurs priorités sur la menace confirmée plutôt que sur des prédictions statistiques.