CVE-2026-68820 : Lazarus exploite le kernel Windows 5 semaines avant le patch

Les faits

Le 11 août 2026, Microsoft a inclus dans son Patch Tuesday mensuel un correctif pour CVE-2026-68820, une vulnérabilité d'élévation de privilèges dans afd.sys, le pilote en mode noyau qui constitue la colonne vertébrale du Windows Sockets API. Ce composant est présent sur tous les systèmes Windows depuis des décennies et gère les communications réseau de pratiquement toutes les applications s'appuyant sur l'API Berkeley Sockets. La faille est notée CVSS 7.0, un score que son contexte d'exploitation rend très trompeur.

Techniquement, CVE-2026-68820 est une condition de course de type use-after-free dans afd.sys. Un attaquant disposant d'un accès local à la machine peut déclencher cette condition de course pour corrompre la mémoire du noyau et élever ses privilèges jusqu'au niveau SYSTEM, le niveau de contrôle absolu du système d'exploitation Windows. En post-compromission, après une intrusion initiale par un autre vecteur, cette brique d'élévation de privilèges devient un accélérateur critique pour la prise de contrôle totale.

C'est précisément dans ce rôle que le groupe nord-coréen Lazarus — lié au bureau 121 du RGB (Reconnaissance General Bureau) — l'a intégrée. Selon les analyses publiées par Check Point Research le 12 août 2026, Lazarus a exploité CVE-2026-68820 dans sa campagne longue durée Operation Dream Job. Le mode opératoire est bien documenté depuis 2019 : des recruteurs fictifs approchent des ingénieurs et techniciens travaillant dans des industries stratégiques — défense, aéronautique, aviation — via LinkedIn ou email professionnel, avec des offres d'emploi attractives.

Dans la campagne d'août 2026, le document proposé est un visualiseur PDF modifié baptisé SecurityPDF. Son exécution déclenche en arrière-plan le déploiement d'un nouveau backdoor nommé Troy. Une fois Troy installé, Lazarus déploie deux composants supplémentaires : FudModule, un rootkit kernel avancé utilisé par le groupe depuis au moins 2023, et ForestTiger, un backdoor assurant la persistance et les communications avec l'infrastructure de commande et contrôle (C2) de Lazarus.

FudModule est la pièce maîtresse de cette chaîne. Il opère directement au niveau du noyau Windows, au même anneau de privilège que le système d'exploitation lui-même. Cela lui permet de masquer ses processus, ses fichiers et ses artefacts réseau aux solutions de détection qui opèrent en espace utilisateur — c'est-à-dire la quasi-totalité des EDR et antivirus conventionnels. La combinaison CVE-2026-68820 + FudModule donne à Lazarus une persistance quasi-invisible sur les systèmes compromis.

Lazarus a exploité ce zero-day pendant au moins cinq semaines avant que Microsoft ne publie le correctif, selon les reconstructions chronologiques de GCN et TechTimes basées sur les artefacts forensiques collectés. Les premières intrusions documentées remonteraient à début juillet 2026. Les victimes identifiées se concentrent dans les secteurs défense, aérospatiale et aviation, principalement en Europe et en Inde. Aucune organisation nommément identifiée en France à ce stade, mais la présence française dans la BITD — Thales, MBDA, Safran, Naval Group, Airbus Defence — en fait une cible structurelle pour ce type de campagne.

Ce n'est pas la première fois en 2026 que Lazarus exploite une vulnérabilité kernel avant sa divulgation. Le groupe a déjà utilisé des zero-days dans N-able N-central (CVE-2026-18577) en mai et dans GitLab (CVE-2026-19478) en juin 2026. Cette cadence révèle une capacité de recherche de vulnérabilités zero-day maintenue en permanence, avec un focus spécifique sur les composants Windows les plus profondément enfouis dans la pile système — là où la visibilité des défenses est la plus faible.

Microsoft a classifié la faille comme une EoP (Elevation of Privilege), ce qui reflète l'exigence d'un accès local initial. Dans le contexte Lazarus, cet accès local est obtenu via Troy ou d'autres vecteurs d'accès initial. La CISA a imposé aux agences fédérales américaines une deadline de remédiation au 25 août 2026. Pour les organisations privées européennes, l'exploitation confirmée par un acteur étatique justifie un traitement en priorité maximale.

Impact et exposition

Toutes les versions supportées de Windows sont affectées — Windows 10, Windows 11, Windows Server 2019 et 2022. Le composant afd.sys ne peut pas être désactivé sans compromettre l'ensemble des communications réseau de la machine. L'exploitation requiert un accès local initial : un attaquant doit d'abord compromettre un compte utilisateur sur la machine cible, via phishing ou autre vecteur. Les secteurs défense, aérospatiale, aviation, technologie de pointe et finance figurent dans les priorités de ciblage documentées de Lazarus. Tout prestataire ou sous-traitant de ces industries est également dans le périmètre.

Recommandations

• Appliquer immédiatement le Patch Tuesday d'août 2026 — CVE-2026-68820 est corrigé dans les mises à jour publiées le 11 août 2026 pour toutes les versions Windows supportées
• Vérifier les indicateurs de compromission (IOC) liés à FudModule et ForestTiger publiés par Check Point Research le 12 août 2026 dans leur rapport public
• Sensibiliser les équipes aux approches de recrutement fictives — Operation Dream Job passe systématiquement par LinkedIn ou email avec des propositions d'emploi ciblant les profils techniques et ingénieurs
• Activer la journalisation kernel via Sysmon (EventID 6 ImageLoad, EventID 10 ProcessAccess) et vérifier toute activité anormale d'afd.sys dans votre SIEM ou Microsoft Defender for Endpoint
• Pour les acteurs de la BITD française : contacter l'ANSSI et évaluer l'obligation de signalement en vertu des obligations OIV/OSE si une compromission est suspectée