CVE-2026-68820 : Windows zero-day exploité par Lazarus

Les faits

Le 12 août 2026, Microsoft a corrigé 421 vulnérabilités dans son cycle mensuel Patch Tuesday, dont un zero-day activement exploité en conditions réelles : CVE-2026-68820. Cette faille réside dans afd.sys, le pilote en mode noyau qui constitue l'épine dorsale de l'API Windows Sockets (WinSock), utilisée par la quasi-totalité des applications réseau sous Windows. La découverte de son exploitation active a été publiée par les chercheurs de Check Point Research le 11 août 2026, dans un rapport intitulé « Shattering the Dream : When a Job Offer Becomes a Zero-Day Attack ».

Techniquement, CVE-2026-68820 est une vulnérabilité de type use-after-free (UAF). Ce type de faille survient lorsqu'un programme continue d'utiliser un pointeur mémoire vers une zone déjà libérée. Dans ce cas précis, un attaquant local authentifié peut déclencher une condition de compétition (race condition) en soumettant une application spécialement conçue au driver afd.sys. L'exploitation réussie permet d'élever ses privilèges jusqu'au niveau SYSTEM — le niveau le plus élevé sous Windows — sans nécessiter d'interaction utilisateur supplémentaire. Le score CVSSv3 est de 7.0 Important, un chiffre qui masque la gravité réelle de la menace dans le contexte d'une exploitation active par un acteur étatique nord-coréen.

L'acteur menaçant exploitant CVE-2026-68820 est le groupe Lazarus, l'unité de cyberattaque de la Corée du Nord également connue sous les noms HIDDEN COBRA ou APT38. La campagne documentée par Check Point Research repose sur une tactique caractéristique de Lazarus : de fausses offres d'emploi (Operation Dream Job) adressées à des cibles soigneusement sélectionnées dans les secteurs de la défense, de l'aérospatiale, de la finance et des crypto-monnaies. Les victimes reçoivent des fichiers malveillants déguisés en documents de recrutement qui initient la chaîne d'exploitation. L'exploitation de CVE-2026-68820 a été observée pour la première fois lors d'intrusions survenues début juin 2026, soit deux mois avant la publication du correctif, confirmant son statut de zero-day pendant toute cette période.

La charge finale déployée après exploitation est une nouvelle version de FudModule, le rootkit en mode noyau (ring 0) de Lazarus. FudModule est un outil sophistiqué permettant de dissimuler des processus, des fichiers, des connexions réseau et des artefacts malveillants aux solutions de détection opérant en espace utilisateur. Son chargement implique que l'attaquant a atteint le niveau de contrôle le plus profond du système — le kernel — rendant la détection et l'éradication extrêmement difficiles. Cette nouvelle version de FudModule, selon Check Point Research, présente des capacités d'évasion améliorées par rapport aux versions documentées en 2023 (exploitation de CVE-2023-28252 dans clfs.sys) et 2025. Cette récurrence démontre une capacité opérationnelle continue à découvrir et exploiter des vulnérabilités kernel Windows avant leur correction.

La technique d'exploitation suit un schéma précis : après une intrusion initiale via ingénierie sociale, Lazarus dépose en mémoire un module d'élévation de privilèges ciblant afd.sys. Ce module déclenche la race condition pour obtenir les droits SYSTEM. FudModule est ensuite chargé directement dans l'espace mémoire noyau, court-circuitant les protections PatchGuard et d'autres mécanismes de défense Windows. L'ensemble de la chaîne opère principalement in-memory (fileless), réduisant considérablement les artefacts laissés sur le disque, ce qui complique la détection forensique post-incident.

Selon les analyses publiées par Tenable, Zero Day Initiative et The Hacker News le 11-12 août 2026, aucun PoC public indépendant n'a été diffusé par la communauté de recherche — l'exploitation est pour l'instant l'apanage du groupe nord-coréen. Microsoft a été informé par Check Point Research après découverte de l'exploitation active, déclenchant un processus de correction accéléré inclus dans le cycle Patch Tuesday normal. BleepingComputer et SecurityWeek rapportent que ce Patch Tuesday est l'un des plus volumineux de l'année avec 421 CVE, dont 3 zero-days au total, mais CVE-2026-68820 est la seule confirmée exploitée en conditions réelles au moment de la divulgation.

La surface d'attaque est considérable : afd.sys est présent et actif sur toutes les versions supportées de Windows (Windows 10, Windows 11, Windows Server 2016, 2019, 2022 et 2025). Le driver WinSock étant chargé par défaut sur tout système Windows, aucune configuration particulière n'est requise pour être vulnérable. La seule condition préalable est qu'un attaquant dispose d'un accès local authentifié — un accès initial obtenu facilement via les techniques de spear-phishing sophistiquées de Lazarus, qui ont fait leurs preuves contre des cibles de haut niveau dans le monde entier. Les organisations françaises sont explicitement citées parmi les cibles européennes potentielles dans les bulletins de threat intelligence disponibles.

Le CERT-FR mentionne ces vulnérabilités Microsoft dans son bulletin d'actualité CERTFR-2026-ACT-034 d'août 2026. Au-delà de CVE-2026-68820, le Patch Tuesday août 2026 corrige notamment d'autres vulnérabilités critiques : Azure SRE Agent (CVSS 9.9 — élévation de privilèges réseau), Microsoft 365 Admin Center (CVSS 9.8 — défaut de vérification de signature cryptographique permettant l'élévation de privilèges sans interaction utilisateur), ainsi que Microsoft Planetary Computer Pro (CVSS 10.0 — déjà mitigé automatiquement côté Microsoft sans action requise des clients). Ces éléments renforcent la priorité absolue à accorder à ce cycle de patching pour toutes les organisations utilisant des technologies Microsoft.

Impact et exposition

Toute organisation utilisant des systèmes Windows — soit la quasi-totalité des entreprises mondiales — est potentiellement exposée à CVE-2026-68820. La faille est d'autant plus préoccupante que Lazarus Group cible prioritairement les secteurs de la finance, de la défense, de l'aérospatiale, des crypto-monnaies et des entreprises technologiques en Europe, aux États-Unis et en Asie. Les opérations de ce groupe sont directement financées par l'État nord-coréen pour financer ses programmes d'armement via le cybervol — la motivation est donc très forte et les ressources opérationnelles considérables.

L'exploitation nécessite un accès local authentifié préalable, obtenu typiquement via une première étape de compromission : macro malveillante dans un faux document de recrutement, téléchargement d'un installateur piégé, ou exploitation d'une autre vulnérabilité applicative. CVE-2026-68820 intervient comme élément d'élévation de privilèges dans la chaîne, permettant de passer d'un compte utilisateur standard à un accès SYSTEM complet, puis au déploiement du rootkit kernel. Une fois FudModule installé, la compromission est particulièrement difficile à détecter et à éradiquer.

Les environnements sans solutions EDR comportementales de niveau kernel, sans journalisation centralisée (SIEM), ou sans surveillance réseau active sont les plus à risque. La confirmation d'exploitation depuis juin 2026 — soit plus de deux mois avant la publication du correctif — implique que des systèmes peuvent déjà être compromis à l'insu de leurs administrateurs. Une investigation proactive est recommandée pour les organisations évoluant dans les secteurs ciblés par Lazarus. La CISA n'avait pas encore ajouté CVE-2026-68820 au catalogue KEV au moment de la publication, mais son ajout est attendu dans les prochains jours.

Recommandations immédiates

• Appliquer immédiatement les mises à jour de sécurité Microsoft d'août 2026 via Windows Update, WSUS ou Microsoft Endpoint Configuration Manager — Microsoft Security Update Guide, août 2026
• Prioriser les systèmes exposés à Internet et ceux utilisés par des collaborateurs ayant accès à des données sensibles ou financières
• Activer et vérifier les journaux d'événements Windows (Event ID 4688 — création de processus, Event ID 7045 — installation de service) pour détecter des exécutions inhabituelles
• Déployer des règles de détection YARA ou Sigma ciblant FudModule si disponibles via votre plateforme de threat intelligence
• Sensibiliser immédiatement les collaborateurs aux campagnes de fausses offres d'emploi caractéristiques de Lazarus Group (Operation Dream Job) : e-mails suspects de recruteurs inconnus, fichiers PDF ou Office non sollicités
• Surveiller les connexions réseau inhabituelles depuis des postes workstation vers des IP étrangères non répertoriées dans vos flux légitimes
• Pour les secteurs particulièrement ciblés (défense, finance, crypto) : envisager une investigation threat hunting proactive sur les systèmes non patchés entre juin et août 2026