CVE-2026-105016 : Microsoft QUIC heap overflow RCE CVSS 9.8

Les faits

Le 13 octobre 2026, Microsoft publie son Patch Tuesday avec un volume record de 1 413 CVEs corrigés. Parmi eux, CVE-2026-105016 se distingue par son score CVSS v3.1 de 9.8 (Critique, vecteur AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) et par sa nature : un dépassement de tampon sur le tas (heap-based buffer overflow, CWE-122) dans MsQuic, l'implémentation Microsoft du protocole QUIC intégrée à .NET, Windows et Visual Studio. La vulnérabilité est exploitable à distance, sans authentification et sans interaction de la victime, par l'envoi d'un unique paquet IPv6 UDP spécialement forgé.

QUIC (Quick UDP Internet Connections) est le protocole réseau qui constitue la fondation d'HTTP/3, la troisième génération du protocole HTTP. Contrairement à HTTP/1.1 et HTTP/2 qui reposent sur TCP, HTTP/3 utilise UDP pour réduire la latence et améliorer la gestion de la perte de paquets en conditions réseau dégradées. Microsoft a développé sa propre implémentation de QUIC, baptisée MsQuic, et l'a intégrée directement dans Windows, .NET et Visual Studio depuis 2022. MsQuic est distribué comme package NuGet (Microsoft.Native.Quic.MsQuic.Schannel) et comme composant natif de Windows Server, avec une adoption croissante dans les environnements enterprise.

La vulnérabilité réside dans le traitement des paquets UDP IPv6 QUIC entrants au sein du parseur bas niveau de MsQuic. Lors de la réception d'un datagramme IPv6 UDP spécialement forgé visant un endpoint HTTP/3, le parseur ne valide pas correctement la taille du contenu avant de le copier dans un buffer alloué sur le tas. L'attaquant peut ainsi provoquer un overflow contrôlé sur les données adjacentes du heap, permettant de corrompre des pointeurs de fonction ou des métadonnées d'objets C++ adjacents. Cette corruption de mémoire peut ensuite être exploitée pour détourner le flux d'exécution et obtenir l'exécution de code arbitraire dans le contexte du processus affecté.

La chaîne d'attaque complète ne nécessite qu'un seul paquet malformé, envoyé sur UDP/443 (le port HTTPS standard pour les connexions QUIC/HTTP/3), sans authentification préalable ni interaction utilisateur. Microsoft classe l'exploitation comme « Unproven » dans son advisory, signifiant qu'aucun exploit fonctionnel n'a été publiquement confirmé au moment de la divulgation. La complexité d'exploitation est qualifiée de faible (AC:L), indiquant que la mise au point d'un exploit ne représente pas un obstacle majeur pour des acteurs avancés. La principale difficulté réside dans l'adaptation des offsets mémoire à la version précise de MsQuic déployée sur la cible — une contrainte surmontable via du fingerprinting réseau.

Les versions affectées comprennent .NET 8.0, .NET 9.0, .NET 10.0 et .NET 11.0 RC2 sur Windows ; Windows Server 2022 en versions antérieures à 10.0.20348.5761 ; Windows Server 2025 en versions antérieures à 10.0.26100.33650 ; ainsi que Microsoft Visual Studio 2022 et Visual Studio 2026 qui embarquent MsQuic pour leurs fonctionnalités de debugging réseau. Le correctif pour le package NuGet passe à la version 2.5.11-ci.159417053, référencée dans l'advisory GitHub dotnet/announcements#446 publié par Microsoft. Les analyses de Qualys, Talos Intelligence et CrowdStrike publiées lors du Patch Tuesday classent CVE-2026-105016 parmi les priorités absolues du mois.

Une caractéristique fondamentale de CVE-2026-105016 amplifie son risque de détection difficile : le trafic QUIC utilise UDP/443, un port généralement autorisé en entrée par les pare-feu d'entreprise pour le trafic HTTPS. Contrairement au TCP, le trafic UDP n'est pas inspecté par la majorité des pare-feu applicatifs (WAF) et des systèmes de détection d'intrusion (IDS/IPS) classiques. Un attaquant exploitant cette vulnérabilité peut potentiellement opérer sans déclencher les alertes réseau traditionnelles. La visibilité sur le trafic UDP/443 entrant est souvent insuffisante dans les architectures de sécurité réseau d'entreprise standards.

HTTP/3 est désormais activé par défaut dans les dernières versions d'IIS sur Windows Server et dans .NET 10+, ce qui augmente mécaniquement le nombre de systèmes exposés par rapport aux cycles précédents. Les environnements de production qui ont migré vers .NET 10 ou 11 pour bénéficier des améliorations de performance d'HTTP/3 sont directement concernés. Les APIs REST et gRPC modernes tirant parti du multiplexage QUIC représentent la surface d'attaque principale.

Les applications .NET embarquant MsQuic comme dépendance directe (via le package NuGet) doivent être recompilées avec la version corrigée et redéployées — la mise à jour Windows seule ne suffit pas dans ce cas. Cette distinction est importante pour les équipes DevOps qui gèrent à la fois l'infrastructure Windows et les applications .NET : deux axes de remédiation distincts sont nécessaires pour une protection complète.

Impact et exposition

CVE-2026-105016 expose principalement les services réseau qui activent HTTP/3 : serveurs web IIS sur Windows Server, applications .NET Kestrel, services SignalR, applications gRPC et APIs REST modernes. La surface d'attaque est en croissance rapide avec l'adoption d'HTTP/3. Les serveurs exposant directement des services HTTP/3 sur Internet sans couche de protection intermédiaire (CDN, reverse proxy non vulnérable) sont les plus exposés.

En l'absence d'exploitation confirmée in-the-wild au moment de la divulgation, le risque immédiat est inférieur à celui d'une vulnérabilité activement exploitée. Néanmoins, le score CVSS 9.8 et la nature du composant — une pile réseau bas niveau s'exécutant en contexte potentiellement privilégié — justifient une remédiation dans les délais standards d'un correctif critique (72h pour les systèmes exposés sur Internet, une semaine pour les systèmes internes). Visual Studio est également affecté, ce qui étend la surface d'attaque aux environnements de développement et aux pipelines CI/CD exposant des services .NET pendant les tests.

Pour les environnements gouvernementaux et les infrastructures critiques, les directives de gestion des vulnérabilités de l'ANSSI et de la CISA recommandent de traiter les CVE de score ≥ 9.0 comme prioritaires même en l'absence d'exploitation confirmée, en raison du délai moyen observé entre la divulgation et la première exploitation in-the-wild (généralement 7 à 30 jours pour les vulnérabilités réseau hautement critiques).

Recommandations immédiates

• Appliquer les mises à jour cumulatives du Patch Tuesday Microsoft du 13 octobre 2026 via Windows Update — Microsoft Security Update Guide CVE-2026-105016
• Pour les applications .NET référençant directement le package NuGet Microsoft.Native.Quic.MsQuic.Schannel : mettre à jour vers la version 2.5.11-ci.159417053 ou ultérieure et redéployer l'application
• Identifier tous les services exposant HTTP/3 sur Internet : sous IIS, vérifier les liaisons de sites ; sous Kestrel, inspecter les fichiers appsettings.json pour les directives HttpProtocols.Http3
• Si la mise à jour immédiate n'est pas possible : désactiver temporairement HTTP/3 au niveau du serveur web ou via la suppression des headers Alt-Svc
• Renforcer la surveillance du trafic UDP/443 entrant — activer les logs QUIC si disponibles dans votre infrastructure réseau
• Mettre à jour Visual Studio 2022/2026 vers la dernière version disponible via le Visual Studio Installer