CVE-2026-108398 : .NET Framework bypass WDAC CVSS 8.8

Les faits

Le Patch Tuesday d’octobre 2026 de Microsoft a corrigé CVE-2026-108398, une vulnérabilité de contournement de fonctionnalité de sécurité (Security Feature Bypass) affectant .NET Framework. Le score CVSS v3.1 est de 8.8/10, avec un vecteur d’attaque local (AV:L), une complexité d’attaque faible (AC:L), des privilèges requis faibles (PR:L — un compte utilisateur standard local suffit), sans interaction utilisateur nécessaire (UI:N), avec un impact élevé sur la confidentialité, l’intégrité et la disponibilité (C:H/I:H/A:H). La vulnérabilité a été divulguée publiquement avant la publication du patch (publicly disclosed zero-day), bien que Microsoft n’ait pas connaissance d’exploitation active à la date de publication du correctif.

Techniquement, CVE-2026-108398 exploite un chemin de recherche non fiable (CWE-427 — Uncontrolled Search Path Element) dans le mécanisme de chargement des assemblies .NET Framework. La faille permet à un attaquant disposant d’un accès local authentifié d’enregistrer un assembly .NET spécialement forgé dans un chemin de recherche privilégié, de telle sorte qu’il sera chargé par un processus protégé par Windows Defender Application Control (WDAC). L’assembly malveillant contourne ainsi les politiques WDAC qui normalement bloqueraient l’exécution de code non signé ou non autorisé, et s’exécute à l’intérieur du processus protégé, héritant de ses privilèges et de sa posture de confiance vis-à-vis des autres mécanismes de sécurité du système.

Windows Defender Application Control (WDAC) est un mécanisme de contrôle des applications intégré à Windows qui permet aux organisations de définir des politiques déterminant quelles applications et quel code peuvent s’exécuter sur un système. WDAC est considéré comme l’une des mesures de défense en profondeur les plus efficaces contre les malwares et les ransomwares, en bloquant l’exécution de code non autorisé même lorsqu’un attaquant a obtenu un accès initial au système. CVE-2026-108398 mine directement cette garantie : un attaquant ayant compromis un compte utilisateur local peut exécuter du code arbitraire à l’intérieur de processus protégés par WDAC, annulant ainsi l’efficacité de ce contrôle de sécurité.

La divulgation publique avant le patch (publicly disclosed) classe CVE-2026-108398 comme un zero-day divulgué dans le Patch Tuesday d’octobre 2026. Selon BleepingComputer et Dark Reading, c’est l’un des trois zero-days — parmi plus de 1 400 CVE — corrigés ce mois-ci par Microsoft. Le chercheur en sécurité à l’origine de la divulgation n’a pas publié de proof-of-concept (PoC) opérationnel à ce stade, ce qui explique l’absence d’exploitation active confirmée. Cependant, la divulgation publique des détails techniques suffit à permettre à des acteurs motivés de développer leur propre exploit à partir de l’analyse du diff de patch.

Les environnements les plus exposés à CVE-2026-108398 sont précisément ceux qui ont investi dans WDAC comme mesure de sécurité — entreprises du secteur financier, administrations, entreprises de défense, et toute organisation ayant déployé des politiques WDAC pour se protéger contre les ransomwares et les malwares avancés. Pour ces organisations, la vulnérabilité représente un risque de contournement complet de l’une de leurs principales lignes de défense, transformant un contrôle de sécurité fiable en fausse assurance. La confiance accordée aux processus «protégés» par WDAC dans les logs de sécurité, les règles SIEM, et les politiques EDR peut être exploitée pour masquer des activités malveillantes.

Rapid7, dans son analyse du Patch Tuesday d’octobre 2026, souligne que CVE-2026-108398 représente un risque particulier dans les scénarios d’attaque post-compromission initiale. Un attaquant ayant pénétré le réseau via phishing ou exploitation d’une autre vulnérabilité peut utiliser CVE-2026-108398 pour élever ses capacités d’exécution de code et contourner les contrôles WDAC qui constituent souvent la dernière barrière avant la compromission complète du système. Dans les architectures Zero Trust modernes où WDAC joue un rôle central, cette vulnérabilité représente un risque stratégique pour la posture de sécurité globale.

Microsoft évalue CVE-2026-108398 comme «Exploitation Less Likely» dans son système d’évaluation propriétaire Exploitability Index (EI), en raison notamment de la nécessité d’un accès local préalable et de l’absence de PoC public au moment de la publication. Néanmoins, pour les organisations qui dépendent de WDAC comme contrôle de sécurité critique, le risque réel est considérablement plus élevé que cette évaluation ne le suggère : le contournement de WDAC par un attaquant déjà présent sur le réseau représente une escalade critique de ses capacités d’attaque. Rapid7 recommande de traiter ce patch en priorité pour ces environnements.

Les versions de .NET Framework affectées couvrent toutes les versions actuellement supportées par Microsoft : .NET Framework 3.5, 4.6.2, 4.7, 4.7.1, 4.7.2, 4.8, et 4.8.1 sur Windows 10, Windows 11, Windows Server 2016, 2019, 2022, et Windows Server 2025. Le correctif est distribué via Windows Update, WSUS, et Microsoft Update Catalog. Sur les systèmes .NET 5+ et .NET 8+ (la branche moderne de .NET), la vulnérabilité n’est pas présente — seul .NET Framework legacy est concerné, ce qui renforce l’argument en faveur de la migration vers les versions modernes de .NET.

Impact et exposition

CVE-2026-108398 requiert un accès local authentifié avec un compte standard — ce qui implique qu’un attaquant doit d’abord avoir obtenu un accès initial au système avant de pouvoir exploiter cette vulnérabilité. Cela réduit la surface d’exposition par rapport à des vulnérabilités directement exploitables depuis Internet. Cependant, dans le contexte d’une attaque en plusieurs étapes, CVE-2026-108398 représente une arme d’escalade de capacités particulièrement efficace pour tout attaquant ayant réussi à phisher un compte utilisateur ou à exploiter une autre vulnérabilité d’accès initial.

L’impact spécifique de cette vulnérabilité concerne principalement les organisations ayant déployé WDAC comme contrôle de sécurité : son contournement annule la protection offerte par WDAC contre l’exécution de code non autorisé, permettant l’exécution d’assemblies malveillants dans des processus protégés, potentiellement avec des niveaux de confiance élevés. Les conséquences incluent l’exfiltration de données depuis des processus protégés, l’injection de code dans des applications de sécurité ou de gestion (antivirus, EDR, outils d’administration), et le contournement d’audit et de logging basés sur WDAC.

Pour les organisations n’utilisant pas WDAC (ce qui représente malheureusement la majorité des entreprises), l’impact direct de CVE-2026-108398 est limité puisque le contrôle contournu n’est pas en place. Néanmoins, la publication de ce correctif est l’occasion pour ces organisations d’évaluer un déploiement de WDAC — et simultanément de s’assurer que leur implémentation WDAC future sera correctement protégée contre ce type de bypass.

Recommandations immédiates

• Appliquer les mises à jour .NET Framework d’octobre 2026 via Windows Update, WSUS ou Microsoft Update Catalog — Microsoft Security Advisory CVE-2026-108398
• Prioriser ce patch dans les environnements ayant déployé WDAC comme contrôle de sécurité actif — le risque effectif pour ces organisations dépasse le score CVSS nominal
• Vérifier l’intégrité des politiques WDAC déployées après application du patch : auditer les logs WDAC (Event ID 3076/3077 dans le journal CodeIntegrity) pour détecter d’éventuelles tentatives de bypass antérieures au correctif
• Envisager la migration des applications critiques vers .NET 8 ou .NET 9 (versions modernes non affectées) dans le cadre de la roadmap de modernisation applicative
• Dans les environnements à haute sensibilité : compléter WDAC par des contrôles complémentaires (Credential Guard, Virtualization-Based Security) pour une défense en profondeur robuste