En bref

  • CVE-2026-32157 : RCE CVSS 8.8 de type use-after-free dans le client Microsoft Remote Desktop pour Windows Desktop
  • Tout poste qui se connecte à un serveur RDP malveillant exécute du code à distance avec les droits de l'utilisateur courant
  • Patch disponible depuis le Patch Tuesday d'avril 2026 — déployer la mise à jour KB et restreindre les sessions RDP sortantes

Les faits

Corrigée dans le Patch Tuesday d'avril 2026, la vulnérabilité CVE-2026-32157 est une faille de type use-after-free (CWE-416) dans le client Microsoft Remote Desktop pour Windows Desktop, version 1.2.0.0 et antérieures. L'avis Microsoft Security Response Center (MSRC) la note 8.8 sur l'échelle CVSS v3.1 avec un vecteur AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H : un attaquant non authentifié peut déclencher une exécution de code arbitraire sur la machine cliente dès qu'un utilisateur ouvre une session RDP vers un serveur contrôlé par l'attaquant. La portée est inversée par rapport à la majorité des failles RDP : ce n'est pas le serveur Windows qui est ciblé, mais le poste de travail qui s'y connecte.

La vulnérabilité s'ajoute à un Patch Tuesday d'avril particulièrement chargé (163 CVE corrigées, deux zero-days dont CVE-2026-32201 SharePoint) et à plusieurs RCE critiques côté serveur, notamment CVE-2026-33824 Windows IKE et CVE-2026-33827 Windows TCP/IP IPv6. Le client Remote Desktop est largement déployé sur les postes administrateurs, les bastions IT et les jump hosts, ce qui en fait une cible de choix pour qui cherche à pivoter latéralement après un premier compromis.

Impact et exposition

Pour exploiter CVE-2026-32157, l'attaquant doit convaincre une victime de se connecter à un serveur RDP qu'il contrôle. Plusieurs chaînes d'attaque rendent cette condition triviale en pratique : fichier .rdp envoyé en pièce jointe phishing, lien rdp:// intégré dans un mail ou une page web, manipulation d'entrées dans un gestionnaire de connexions partagé, ou compromission d'un serveur RDP légitime utilisé comme rebond. Une fois le triple-handshake établi, le serveur malveillant déclenche la libération mémoire vulnérable et obtient une exécution de code dans le contexte de l'utilisateur connecté.

Sur un poste administrateur ou un bastion, l'impact est immédiat : le code s'exécute avec les jetons d'authentification Kerberos en cache, les credentials administrateur de domaine et les tickets de session vers les autres serveurs. C'est exactement le scénario favorisé par les opérateurs de ransomware modernes qui cherchent à compromettre la couche d'administration sans alerter les EDR. Aucun signe d'exploitation in-the-wild publique n'a été rapporté à ce jour, mais la combinaison surface client + complexité faible + privilèges étendus fera très probablement émerger un exploit dans les semaines qui viennent.

Recommandations immédiates

  • Déployer la mise à jour de sécurité d'avril 2026 du Microsoft Remote Desktop client (Patch Tuesday avril 2026, advisory MSRC CVE-2026-32157)
  • Bloquer le trafic RDP sortant depuis les postes utilisateurs et n'autoriser les connexions RDP que vers une liste blanche de bastions internes
  • Bloquer l'ouverture des fichiers .rdp reçus par mail dans la passerelle de messagerie et les EDR
  • Désactiver les protocoles d'ouverture rdp:// et ms-rd:// dans les navigateurs gérés via GPO/Intune
  • Activer l'authentification au niveau réseau (NLA) et exiger l'authentification mutuelle (RDP Restricted Admin / Remote Credential Guard) sur l'ensemble du parc
  • Surveiller les processus enfants anormaux de mstsc.exe ou msrdc.exe via les règles EDR

⚠️ Urgence

Le client RDP est l'outil quotidien des équipes IT et des administrateurs : la compromission d'un seul poste équivaut souvent à la prise de contrôle de l'Active Directory. Le déploiement du correctif doit être prioritaire sur les postes des administrateurs, des opérateurs SOC et des bastions, puis généralisé en moins de 7 jours sur l'ensemble du parc Windows.

Comment savoir si je suis vulnérable ?

Sur un poste Windows, vérifier la version du client Remote Desktop via winget list "Remote Desktop" ou en ouvrant msrdc.exe puis Aide / À propos. Toute version 1.2.0.0 et antérieure est vulnérable. Pour un parc entier, interroger l'inventaire WSUS / Intune / SCCM sur la présence du KB d'avril 2026 référencé dans l'avis MSRC CVE-2026-32157.

Quelles mitigations si je ne peux pas patcher tout de suite ?

Bloquer les connexions RDP sortantes depuis les postes utilisateurs au niveau du pare-feu Windows et du firewall périmétrique, désactiver l'ouverture automatique des fichiers .rdp dans la passerelle mail, et imposer l'utilisation exclusive d'un bastion interne audité pour toute administration. Voir aussi notre dossier CVE-2026-33825 Defender BlueHammer pour la combinaison avec d'autres failles d'avril.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits ciblés pour identifier et corriger vos vulnérabilités.

Demander un audit