CVE-2026-68820 : Windows AFD.sys zero-day Lazarus CVSS 7.0

Les faits

Microsoft a corrigé le 11 août 2026, dans le cadre de son Patch Tuesday mensuel, une vulnérabilité zero-day d'élévation de privilèges affectant le pilote Windows Ancillary Function Driver for WinSock (AFD.sys), identifiée sous la référence CVE-2026-68820. La faille, classée CVSS 7.0 (High), était activement exploitée dans la nature au moment de sa divulgation. L'enquête de Check Point Research, publiée simultanément, a attribué l'exploitation à Lazarus Group, le collectif de cybercriminels étatiques nord-coréen, dans le cadre de la campagne Operation Dream Job, active depuis 2020.

AFD.sys est le pilote en mode noyau qui constitue l'épine dorsale de l'API Windows Sockets (Winsock). Il gère les opérations de socket à bas niveau utilisées par pratiquement toutes les applications réseau sous Windows, du navigateur aux logiciels d'entreprise. Sa présence garantie sur tous les systèmes Windows et sa position dans le noyau en font une cible de choix pour les acteurs cherchant à obtenir une élévation de privilèges stable et discrète.

La root cause de CVE-2026-68820 est une condition de course (race condition) conduisant à un use-after-free dans AFD.sys. Plus précisément, deux threads concurrents peuvent accéder à l'état d'une socket sans synchronisation adéquate. Un attaquant maîtrisant le timing d'exécution peut exploiter cette condition pour corrompre la mémoire libérée (freed memory) et obtenir un primitif de lecture/écriture au niveau du noyau. Ce primitif kernel read/write permet de contourner les mécanismes de protection mémoire du système d'exploitation et d'élever les privilèges du processus attaquant au niveau SYSTEM, le niveau de contrôle le plus élevé sous Windows.

La technique d'exploitation suit un schéma classique des LPE kernel modernes : déclenchement de la race condition par spray de threads, exploitation du primitif de corruption mémoire pour réécrire une structure de données noyau protégée (typiquement le token de sécurité du processus), et substitution du token courant par celui du processus SYSTEM. L'exploitation nécessite un accès local en exécution de code sur la machine cible — ce qui explique le score CVSS 7.0 plutôt que 9.x : le vecteur d'attaque est local (AV:L) et requiert des privilèges bas (PR:L). Cependant, dans la chaîne d'attaque de Lazarus, ce composant sert de second étage : un premier vecteur d'accès initial (phishing, exploitation web) est suivi de CVE-2026-68820 pour obtenir la persistance SYSTEM.

Check Point Research a analysé les artefacts forensiques récupérés sur les systèmes compromis de victimes du secteur de la défense aux États-Unis, en Europe et en Asie du Pacifique. L'exploitation de CVE-2026-68820 a été active pendant au moins cinq semaines avant le Patch Tuesday du 11 août 2026, sans être détectée par les solutions EDR des entreprises victimes. Lazarus a utilisé la LPE pour installer un backdoor persistant opérant avec des privilèges SYSTEM, lui permettant de désactiver les solutions de sécurité endpoint et d'exfiltrer des données sensibles à long terme. TechTimes a rapporté que des employés du secteur défense ont été ciblés via de fausses offres d'emploi — la signature d'Operation Dream Job.

Operation Dream Job est une campagne multi-années de Lazarus Group consistant à approcher des cibles de haute valeur (ingénieurs en défense, développeurs de logiciels, chercheurs en IA) via des plateformes professionnelles avec de fausses propositions d'emploi attrayantes. Une fois la victime engagée, elle reçoit des fichiers malveillants (documents Office, archives ZIP) contenant le stager initial. Sur un système patché contre les vulnérabilités de premier étage, CVE-2026-68820 permettait à Lazarus d'escalader vers SYSTEM même à partir d'un contexte utilisateur standard. Le CERT-FR a publié un avis technique le 12 août 2026 alertant spécifiquement sur l'implication de ce zero-day dans des campagnes d'espionnage ciblé visant des entreprises françaises du secteur aéronautique et de la défense.

Microsoft n'a pas précisé combien de victimes ont été identifiées lors de la période d'exploitation zero-day. SecurityWeek rapporte que l'agence CISA a ajouté CVE-2026-68820 au catalogue Known Exploited Vulnerabilities (KEV) le 11 août 2026, avec une directive BOD 26-04 fixant au 1er septembre 2026 la date limite de patching pour les agences fédérales américaines. Le délai inhabituellement court (3 semaines au lieu des 21 jours habituels) reflète l'urgence liée à l'exploitation confirmée par un acteur étatique. Bien que le CVSS soit de 7.0, le contexte d'exploitation nation-state justifie une priorité de patching élevée.

AFD.sys avait déjà été ciblé par des vulnérabilités d'élévation de privilèges dans le passé, notamment CVE-2023-21768 (CVSS 7.8) exploitée en 2023. La récurrence de vulnérabilités critiques dans ce composant souligne la complexité de la synchronisation des opérations réseau au niveau noyau et la difficulté d'éradiquer complètement les race conditions dans un code aussi multi-threadé. Des chercheurs de Redlegg ont publié une analyse technique détaillée le 13 août 2026 décrivant le mécanisme de use-after-free sans publier de proof-of-concept opérationnel, par précaution face au contexte d'exploitation active.

Impact et exposition

Tous les systèmes Windows exécutant des versions non patchées sont potentiellement exposés. La vulnérabilité affecte Windows 10 (toutes versions), Windows 11 (toutes versions), Windows Server 2016, 2019, 2022 et 2025. L'étendue de la base installée mondiale — plus d'un milliard d'appareils — rend CVE-2026-68820 d'une importance systémique, même si son exploitation requiert un accès local préalable.

L'impact réel de cette vulnérabilité est amplifié par son rôle de second étage dans des chaînes d'attaque sophistiquées. Les organisations les plus exposées sont celles ciblées par des acteurs APT (Advanced Persistent Threat) disposant déjà d'un accès initial à leurs systèmes : secteurs de la défense, aérospatial, gouvernemental, semi-conducteurs et infrastructures critiques. Pour ces environnements, CVE-2026-68820 transforme un accès utilisateur standard en compromission totale du système.

Dans un contexte de télétravail généralisé, les postes de travail distants connectés via VPN ou RDP constituent une surface d'attaque particulièrement vulnérable : un attaquant obtenant un premier accès via phishing ou exploitation d'un service exposé peut enchaîner immédiatement avec CVE-2026-68820 pour obtenir SYSTEM. Les environnements de développement (CI/CD) hébergeant des agents d'intégration sous des comptes à droits limités sont également concernés.

Recommandations immédiates

• Appliquer les mises à jour de sécurité Microsoft du Patch Tuesday du 11 août 2026 — Microsoft Windows Security Update KB5043080 (Windows 11) et KB5043083 (Windows 10) — via Windows Update ou WSUS/SCCM
• Prioriser le patching des postes et serveurs exposés à Internet ou à des environnements non maîtrisés
• Rechercher des indicateurs de compromission liés à Operation Dream Job : exécutables non signés déposés dans %TEMP%, modifications du registre HKLMSYSTEMCurrentControlSet, connexions réseau vers des domaines enregistrés récemment
• Analyser les logs EDR pour des créations de processus SYSTEM inhabituelles (svchost.exe spawning cmd.exe ou powershell.exe) sur la période du 1er juillet au 11 août 2026
• Sensibiliser les équipes RH et IT aux techniques de spear-phishing via de fausses offres d'emploi (Operation Dream Job)
• Bloquer les documents Office avec macros provenant d'expéditeurs inconnus et désactiver l'exécution automatique des macros via les GPO