CVE-2026-62832 : Windows User Profile zero-day CVSS 7.8 exploité

Les faits

CVE-2026-62832 est une vulnérabilité d'élévation de privilèges (EoP) affectant le service Windows User Profile Service (ProfSvc), corrigée dans le cadre du Patch Tuesday de Microsoft publié le 12 août 2026. Ce qui distingue cette faille des correctifs habituels est son statut de zero-day divulgué publiquement : la technique d'exploitation avait été publiée avant la disponibilité du correctif, sous le nom de code LegacyHive par l'acteur de menace connu sous le pseudonyme Nightmare-Eclipse en juillet 2026.

CVE-2026-62832 est catégorisée comme une vulnérabilité de type link following (CWE-59). Le User Profile Service de Windows est responsable du chargement et de la gestion des profils utilisateurs, y compris les ruches de registre associées (NTUSER.DAT). La faille exploite une faiblesse dans la manière dont ProfSvc résout les liens symboliques lors du chargement des ruches de registre d'autres utilisateurs. Un attaquant local authentifié avec des privilèges bas peut construire une application spécialement forgée qui force le service à suivre un lien symbolique malveillant, chargeant ainsi une ruche de registre arbitraire sous l'identité du service (SYSTEM).

Le score CVSS v3.1 est de 7.8/10 (High). Le vecteur CVSS confirme une attaque locale (AV:L), complexité faible (AC:L), nécessitant des privilèges bas (PR:L) et aucune interaction utilisateur (UI:N). L'impact est élevé sur la confidentialité, l'intégrité et la disponibilité (C:H/I:H/A:H). L'exploitation aboutit à une élévation jusqu'au niveau SYSTEM — le niveau de privilège le plus élevé sous Windows — permettant à l'attaquant de prendre le contrôle complet du système compromis.

La technique LegacyHive publiée par Nightmare-Eclipse exploite spécifiquement le comportement de ProfSvc lorsqu'il tente de charger la ruche de registre d'un compte utilisateur local inactif ou supprimé. En manipulant les points de montage et les liens symboliques NTFS avant d'appeler la fonctionnalité de chargement de profil, l'attaquant peut rediriger le chargement vers un fichier de ruche arbitraire contrôlé par l'attaquant. Le service ProfSvc, fonctionnant en tant que SYSTEM, charge cette ruche et applique les clés de registre qu'elle contient, permettant à l'attaquant d'écrire dans des emplacements de registre privilégiés ou d'exécuter du code dans le contexte SYSTEM.

CrowdStrike a analysé CVE-2026-62832 dans son Patch Tuesday Analysis d'août 2026 et a confirmé que ce correctif correspond directement à la technique LegacyHive publiée par Nightmare-Eclipse en juillet 2026. CrowdStrike évalue avec un niveau de confiance élevé que la publication publique de la technique a précédé la correction Microsoft d'environ trois semaines, créant une fenêtre d'exploitation pendant laquelle tout acteur ayant connaissance de la PoC public pouvait l'utiliser contre des systèmes Windows non patchés.

Microsoft a qualifié CVE-2026-62832 de vulnérabilité "Important" (et non "Critical"), car l'exploitation nécessite un accès local authentifié au système cible. Cependant, dans un contexte de post-exploitation ou de mouvement latéral, cette faille est particulièrement dangereuse : un attaquant ayant obtenu un accès initial à faibles privilèges via du phishing, une exploitation RCE non-privilégiée ou une compromission de compte peut utiliser CVE-2026-62832 pour élever immédiatement ses privilèges à SYSTEM et installer un rootkit ou un ransomware avec des droits maximaux.

Le Patch Tuesday d'août 2026 a corrigé au total 394 à 421 vulnérabilités selon les sources (BleepingComputer, SecurityWeek), dont 42 critiques et 3 zero-days. CVE-2026-62832 est l'un des deux zero-days publiquement divulgués de ce lot — l'autre zero-day activement exploité étant CVE-2026-68820 (WinSock use-after-free, attribué au groupe Lazarus/Corée du Nord). La combinaison d'un zero-day public (CVE-2026-62832) et d'un zero-day exploité in-the-wild par un acteur étatique (CVE-2026-68820) rend ce Patch Tuesday d'une criticité opérationnelle inhabituellement élevée.

SANS ISC et le blog Talos Intelligence ont tous deux souligné dans leurs analyses du 12 août 2026 que CVE-2026-62832 est particulièrement pertinent dans les environnements où plusieurs utilisateurs partagent des postes de travail (VDI, kiosques, laboratoires informatiques, environnements industriels avec comptes opérateurs locaux). Dans ces contextes, un utilisateur peu privilégié peut exploiter la faille pour accéder aux données des autres utilisateurs du système et escalader vers SYSTEM sans nécessiter d'interaction réseau ou de déplacement latéral.

Impact et exposition

CVE-2026-62832 affecte l'ensemble des systèmes Windows disposant du User Profile Service actif — c'est-à-dire la quasi-totalité des systèmes Windows en production. Les versions confirmées comme vulnérables incluent Windows 10 21H2 et les versions ultérieures, Windows 11 (toutes versions), Windows Server 2019, 2022 et 2025. L'exploitation requiert un accès local authentifié avec un compte à faibles privilèges, ce qui correspond au niveau d'accès obtenu par un attaquant après une compromission initiale classique (phishing, credential stuffing, exploitation d'un service non-privilégié).

Dans un scénario d'attaque réaliste, CVE-2026-62832 s'insère comme deuxième étape d'une chaîne d'exploitation : un attaquant compromet d'abord un compte utilisateur standard (via phishing ou exploitation d'un service exposé), puis utilise LegacyHive pour élever ses privilèges à SYSTEM et installer une backdoor persistante, extraire les hachages de mots de passe depuis la SAM, désactiver les protections antivirus, ou déployer un ransomware avec des droits maximaux. Cette capacité à transformer une compromission de compte standard en prise de contrôle totale du système est ce qui rend les EoP Windows si précieuses dans les arsenaux des groupes APT et des opérateurs de ransomware.

L'exposition est universelle sur les systèmes Windows non patchés. Les environnements les plus à risque incluent les organisations ayant des cycles de patch étendus (30-90 jours), les systèmes industriels (OT/ICS) sous Windows non directement connectés aux systèmes de gestion de patch, et les environnements multi-utilisateurs (VDI, Remote Desktop Services) où des comptes à faibles privilèges sont largement distribués. La disponibilité d'un exploit public (LegacyHive) réduit la barrière technique à l'exploitation, rendant cette faille accessible à des acteurs moins sophistiqués.

Recommandations immédiates

• Appliquer le Patch Tuesday Microsoft d'août 2026 (date de publication : 12 août 2026) sur l'ensemble des systèmes Windows — Microsoft Security Update Guide, Advisory CVE-2026-62832
• Prioriser les systèmes exposés à Internet, les serveurs Remote Desktop Services (RDS) et les environnements VDI où des comptes à faibles privilèges sont largement utilisés
• En attendant le patch : surveiller les événements Windows liés au chargement de ruches de registre inhabituelles (Event ID 1500, 1501, 1502 du User Profile Service) et les créations de liens symboliques NTFS suspects
• Activer les règles de détection de link following dans Windows Defender for Endpoint (MDE) — la télémétrie LegacyHive est couverte par les signatures publiées par Microsoft le 12 août 2026
• Indicateurs de compromission : processus svchost.exe (ProfSvc) accédant à des fichiers NTUSER.DAT hors des profils utilisateurs standards, création de jonctions NTFS dans des répertoires utilisateurs, Event ID 4688 avec création de processus SYSTEM non attendus
• Dans les environnements OT/ICS où le patch ne peut être appliqué immédiatement : isoler réseau les systèmes exposés et restreindre les comptes utilisateurs locaux au strict minimum nécessaire