En bref

  • Microsoft révise son advisory le 28 avril 2026 : CVE-2026-32202 confirmée comme exploitée en environnement réel
  • Coercition d'authentification zero-click via fichiers LNK auto-parsés, vol de hash NTLM
  • Patch Tuesday d'avril 2026 corrige la faille, déploiement immédiat recommandé

Les faits

Points clés à retenir

  • Les faits
  • Impact et exposition
  • Recommandations

Microsoft a révisé le 28 avril 2026 son advisory relatif à la CVE-2026-32202 Windows Shell, une vulnérabilité de spoofing affectant l'interpréteur graphique de Windows, pour y indiquer qu'une exploitation active a été observée en conditions réelles. Publiée initialement le 14 avril à l'occasion du Patch Tuesday d'avril, la faille était alors assortie d'un score CVSS de 4.3, jugé modéré, et classée comme non exploitée. Cette révision change la donne : un score faible ne reflète plus le risque opérationnel dès lors que des attaquants s'en servent déjà, ce type de vulnérabilité étant typiquement exploité via des fichiers ou des raccourcis piégés destinés à tromper l'utilisateur sur la nature réelle du contenu ouvert. Les équipes sécurité doivent donc requalifier la priorité de ce correctif, vérifier son déploiement sur l'ensemble du parc Windows et rechercher d'éventuelles traces d'exploitation antérieure.

La faille est issue d'un correctif incomplet de la CVE-2026-21510, une RCE corrigée en février 2026. Le chercheur d'Akamai Maor Dahan a démontré que le patch initial bloquait l'exécution de code mais laissait persister un mécanisme de coercition d'authentification : un fichier LNK forgé, simplement présent dans un dossier visualisé par l'Explorateur, peut déclencher la résolution automatique d'un chemin UNC pointant vers un serveur SMB contrôlé par l'attaquant. La machine victime envoie alors ses identifiants NTLM sans aucune interaction utilisateur.

Impact et exposition

Le scénario d'exploitation est connu et redoutable : un fichier .lnk déposé dans un partage réseau, une pièce jointe extraite, ou un téléchargement de navigateur suffit. Dès que l'utilisateur ouvre le dossier contenant le fichier, Windows tente automatiquement de récupérer l'icône via le chemin UNC embarqué, ce qui déclenche la connexion SMB et le hachage NTLM. L'attaquant capture ensuite ce hash pour le rejouer (NTLM relay vers un service interne) ou le casser hors-ligne pour récupérer le mot de passe en clair.

Toute organisation laissant sortir le port SMB (445) en sortie WAN ou autorisant des partages SMB depuis des postes utilisateurs est directement exposée. Les environnements Active Directory non durcis, où NTLM reste utilisable et où le SMB Signing n'est pas obligatoire, voient le risque s'étendre au pivot interne. La CVE-2026-32202 est typiquement exploitée dans des chaînes de phishing ciblé et de compromission via partage réseau interne par des groupes APT et des opérateurs ransomware.

Recommandations

  • Déployer le KB du Patch Tuesday d'avril 2026 sur l'ensemble du parc Windows 10, 11 et Server
  • Bloquer SMB sortant (port 445/TCP) au niveau du pare-feu périmétrique
  • Activer SMB Signing obligatoire et désactiver NTLMv1 sur les contrôleurs de domaine
  • Restreindre l'authentification NTLM par stratégie de groupe (NTLM auditing puis blocage)
  • Auditer les fichiers .lnk présents dans les partages réseau utilisateurs et profils itinérants
  • Surveiller les connexions SMB sortantes inhabituelles via les logs réseau et EDR

Alerte critique

Le caractère zero-click de la faille (aucune action utilisateur au-delà de l'ouverture d'un dossier) la rend particulièrement adaptée aux campagnes de phishing massif et aux mouvements latéraux post-intrusion. La confirmation d'exploitation par Microsoft signifie que des acteurs malveillants disposent déjà du PoC et l'utilisent.

Suis-je exposé si je n'ouvre jamais le fichier LNK ?

Oui. La faille s'active à la simple résolution d'icône par l'Explorateur Windows lorsque le dossier est affiché. Aucun double-clic n'est nécessaire, aucun avertissement ne s'affiche. C'est ce qui rend la vulnérabilité particulièrement dangereuse en environnement de partages réseau.

Le blocage SMB sortant suffit-il en attendant le patch ?

C'est une mitigation forte mais incomplète. Bloquer le 445 sortant empêche la fuite de hash vers Internet, mais ne couvre pas les attaques internes (poste compromis dans le LAN qui sert de relais SMB). Le patch reste impératif, et SMB Signing obligatoire est la défense structurelle.

Cette CVE rejoint la liste des coercitions d'authentification Windows exploitées en 2026, dans la lignée de CVE-2026-32157 sur Remote Desktop Client et PhantomRPC qui élève au SYSTEM via RPC. La surface "fichier auto-parsé par l'Explorateur" reste un angle d'attaque récurrent que les correctifs partiels n'éteignent pas durablement.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit

Pour approfondir

Sources et références