Suivre 
Le Patch Tuesday d’août 2026 de Microsoft aborde des centaines de vulnérabilités de sécurité, mais un problème se distingue car les attaquants l’exploitaient déjà avant qu’un correctif ne soit disponible. CVE-2026-68820 est une vulnérabilité d’élévation de privilèges de haute gravité dans le pilote de fonction auxiliaire de Windows pour WinSock, ou AFD.sys, qui peut permettre à un attaquant local d’escalader les privilèges à SYSTEM.
La faille a un score CVSS de 7.0 et réside dans un pilote noyau Windows central responsable du support des opérations de sockets utilisées par l’API Windows Sockets. Bien que l’exploitation nécessite qu’un attaquant ait déjà du code en exécution sur la machine cible, un abus réussi transforme efficacement un accès existant en un contrôle complet au niveau système sans nécessiter d’interaction utilisateur supplémentaire.
La vulnérabilité a également été liée à une activité étatique réelle. Check Point Research a attribué l’exploitation au groupe Lazarus, lié à la Corée du Nord, dans le cadre de sa campagne de longue date Operation Dream Job, où les attaquants ont utilisé le jour zéro pour déployer une nouvelle version du rootkit mode noyau FudModule après avoir initialement compromis les systèmes ciblés.
Analyse de CVE-2026-68820
À un niveau technique, CVE-2026-68820 est une vulnérabilité de type use-after-free dans AFD.sys causée par une synchronisation incorrecte lorsque plusieurs threads interagissent avec l’état lié aux sockets simultanément. Sous des conditions de course spécifiques, un chemin de code peut libérer un objet mémoire tandis qu’un autre continue à y accéder, créant une condition de corruption de mémoire qui peut être utilisée pour une élévation de privilèges.
Un attaquant doit d’abord obtenir un accès authentifié local ou autrement obtenir une exécution de code sur la cible. Une application spécialement conçue peut alors déclencher à plusieurs reprises la condition de course jusqu’à ce que la fenêtre temporelle vulnérable soit atteinte. Une exploitation réussie fournit une primitive de lecture/écriture noyau qui peut finalement être exploitée pour obtenir les privilèges SYSTEM.
Les détails les plus importants pour CVE-2026-68820 sont donc son rôle dans une intrusion en plusieurs étapes plutôt que l’accès initial. Les attaquants ne peuvent pas simplement cibler un appareil Windows à distance via AFD.sys depuis Internet. Au lieu de cela, le bogue devient précieux après que des logiciels malveillants, des identifiants volés, le phishing ou une autre vulnérabilité ont déjà fourni un accès initial.
Ce schéma a été observé dans l’Operation Dream Job de Lazarus. Les chercheurs de Check Point ont trouvé le groupe utilisant de fausses opportunités d’emploi ciblées fortement sur les organisations de défense, aérospatiales, aéronautiques, de drones, de robotique et de technologie militaire. La campagne a utilisé des leurres PDF malveillants et des logiciels trojanisés pour obtenir une exécution initiale avant de déployer des modules de logiciels malveillants supplémentaires.
Au cours d’une chaîne d’infection, le téléchargeur en mémoire MISTPEN a effectué une reconnaissance, établi la persistance et chargé un module d’exploitation ciblant le pilote réseau Windows. Après une élévation de privilèges réussie, les attaquants ont exécuté FudModule avec des droits SYSTEM, donnant au rootkit mode noyau les privilèges nécessaires pour interférer avec la surveillance de sécurité et soutenir une compromission plus profonde.
CVE-2026-68820 affecte un large éventail de versions clients et serveurs Windows prises en charge, y compris Windows 10, Windows 11 et plusieurs générations de Windows Server. Cela rend la faille pertinente non seulement pour les postes de travail des employés mais aussi pour les serveurs d’entreprise où une compromission à faible privilège existante pourrait être escaladée à un contrôle complet du système.
Au moment de la rédaction, aucun des rapports demandés ne pointe vers un PoC public pour CVE-2026-68820. Check Point a également intentionnellement retenu les détails techniques complets d’exploitation immédiatement après que Microsoft ait publié le correctif, réduisant la quantité d’informations disponibles pour une reproduction directe tandis que les organisations déploient les mises à jour.
Il n’y a également aucun IOC publié par Microsoft pour CVE-2026-68820 qui identifie de manière unique l’exploitation de la condition de course elle-même. Cependant, les défenseurs enquêtant sur une possible activité de l’Operation Dream Job peuvent corréler les événements d’élévation de privilèges avec les logiciels malveillants, l’infrastructure et les indicateurs de fichiers publiés dans le cadre de la recherche de campagne de Check Point.
Atténuation de CVE-2026-68820
Microsoft a abordé la vulnérabilité dans ses mises à jour Patch Tuesday du 11 août 2026. Parce que la faille a déjà été exploitée dans des attaques réelles, les points d’extrémité et serveurs Windows affectés doivent être prioritaires pour une remédiation immédiate même si son score CVSS est inférieur à plusieurs problèmes critiques d’exécution de code à distance inclus dans le même cycle de mise à jour.
La détection de CVE-2026-68820 devrait se concentrer à la fois sur le statut des correctifs et sur le comportement associé à l’élévation de privilèges locaux. Les équipes de sécurité devraient identifier les systèmes Windows qui n’ont pas reçu les mises à jour de sécurité d’août et enquêter sur les transitions inattendues des contextes d’utilisateur ordinaire ou d’application à l’exécution au niveau SYSTEM.
Pour détecter l’exploitation de CVE-2026-68820 ou une activité post-compromission connexe, les défenseurs doivent prêter une attention particulière à :
- Processus inattendus obtenant des privilèges SYSTEM après exécution depuis un contexte utilisateur
- Activité suspecte impliquant AFD.sys immédiatement avant l’élévation de privilèges
- Logiciels malveillants au niveau du noyau ou tentatives d’interférer avec la visibilité EDR
- Manipulation de processus, fils, registres ou rappels de sécurité inhabituelle
- Preuve de sideloading de DLL ou de chaînes de livraison liées à des PDF malveillants
- Nouveaux mécanismes de persistance apparaissant peu avant l’activité au niveau du noyau
Les organisations doivent également se rappeler que le correctif de la faille d’élévation de privilèges locaux ne supprime pas les logiciels malveillants ou la persistance déjà établis sur les systèmes compromis avant la mise à jour. Les hôtes montrant des indicateurs cohérents avec l’activité de Lazarus doivent être traités comme des incidents potentiels et faire l’objet d’une enquête au-delà de la simple vérification des correctifs.
Pour les organisations à haut risque, notamment celles dans les secteurs de la défense, de l’aérospatiale, de l’aviation, de la robotique et des technologies connexes, la remédiation devrait donc combiner un correctif Windows rapide avec une chasse aux points d’extrémité, une surveillance de l’élévation de privilèges, un examen des identifiants et une enquête sur les leurres à thème d’emploi suspects ou les logiciels trojanisés récemment exécutés par les utilisateurs.
FAQ
Qu’est-ce que CVE-2026-68820 et comment cela fonctionne-t-il ?
CVE-2026-68820 est une faille d’élévation de privilèges de type use-after-free dans le pilote de fonction auxiliaire de Windows pour WinSock, également connu sous le nom de AFD.sys. Un attaquant localement authentifié peut exécuter une application spécialement conçue qui déclenche une condition de course dans le pilote. Une exploitation réussie peut fournir un accès mémoire au niveau du noyau et permettre à l’attaquant d’élever les privilèges à SYSTEM.
Quand CVE-2026-68820 a-t-il été découvert pour la première fois ?
Check Point Research a signalé la vulnérabilité au Microsoft Security Response Center le 28 juillet 2026. Microsoft a confirmé le problème le 31 juillet, a attribué l’identifiant CVE le 5 août et a publié le correctif de sécurité le 11 août 2026 dans le cadre de Patch Tuesday. Check Point a observé le jour zéro être exploité dans l’Operation Dream Job depuis au moins début juillet 2026.
Quel est l’impact de CVE-2026-68820 sur les systèmes ?
Une exploitation réussie accorde les privilèges SYSTEM, donnant à un attaquant le plus haut niveau pratique de contrôle sur un hôte Windows. Cela peut permettre une interférence avec les outils de sécurité, l’accès aux identifiants, la persistance, le déploiement de logiciels malveillants, le vol de données, et un mouvement latéral supplémentaire à travers l’environnement.
CVE-2026-68820 peut-il encore m’affecter en 2026 ?
Oui. Les systèmes Windows qui n’ont pas reçu les mises à jour de sécurité Microsoft d’août 2026 peuvent rester vulnérables. Le risque est particulièrement urgent car l’exploitation a été confirmée avant la publication du correctif et la vulnérabilité a déjà été incorporée dans une campagne d’intrusion sophistiquée d’un État-nation.
Comment puis-je me protéger de CVE-2026-68820 ?
Appliquez immédiatement les mises à jour de sécurité Microsoft d’août 2026 et confirmez que les mises à jour et les redémarrages requis ont été effectués sur l’ensemble des points d’extrémité et des serveurs Windows. Les organisations devraient également chercher une élévation de privilèges SYSTEM suspecte, des logiciels malveillants au niveau du noyau, et des indicateurs associés à l’Operation Dream Job de Lazarus, en particulier sur les systèmes qui peuvent avoir été compromis avant le patch.
