CVE-2026-33827 : RCE Windows TCP/IP via race condition

Les faits

Microsoft a corrigé la CVE-2026-33827 à l'occasion du Patch Tuesday d'avril 2026, un cycle particulièrement dense puisqu'il rassemble 167 vulnérabilités résolues. Le défaut se situe dans tcpip.sys, le pilote qui implémente la pile réseau de Windows, et relève d'une condition de course (CWE-362) : lorsque plusieurs paquets fragmentés sont réassemblés en parallèle, une fenêtre temporelle mal protégée ouvre la voie à un accès mémoire incohérent, exploitable pour exécuter du code arbitraire. Notée 8.1 sur l'échelle CVSS 3.1, la faille est déclenchable à distance, sans authentification ni interaction de l'utilisateur ; seule la complexité d'exploitation, liée à la synchronisation précise que réclame la course, limite le score. Microsoft l'a classée « Exploitation More Likely », un indice de risque déjà attribué aux précédentes failles de la pile TCP/IP Windows, dont plusieurs ont fini par faire l'objet de codes d'exploitation publics.

D'après les analyses publiques de Tenable, Rapid7 et CrowdStrike, l'attaquant doit gagner une fenêtre de race entre le réassemblage de fragments et la libération du buffer associé. La probabilité de réussite est faible sur un seul essai, mais multipliée par le rejeu massif d'un même flux. La complexité de l'attaque (AC:H) explique le score à 8.1 plutôt que 9.8, mais les systèmes restent ciblables sans authentification ni interaction.

Aucune exploitation in-the-wild n'a été documentée au 28 avril 2026 selon le bulletin MSRC, mais la pile TCP/IP de Windows est historiquement la cible privilégiée de chaînes wormables (rappel : CVE-2020-16898, CVE-2021-24074). Les chercheurs estiment qu'un PoC fiable peut émerger sous 30 à 90 jours.

Impact et exposition

L'exploitation réussie permet l'exécution de code en mode noyau, soit une compromission totale du système avec privilèges SYSTEM. Les actifs prioritaires sont les serveurs exposés directement à Internet (web, mail, VPN), les contrôleurs de domaine internes et tout poste mobile susceptible de se connecter à un réseau hostile (cafétéria, hôtel, conférence).

La pile IPv6 est explicitement listée comme vecteur déclencheur : les organisations qui n'ont pas désactivé IPv6 ou qui ne filtrent pas les paquets ICMPv6 et fragments en bordure héritent d'une surface d'attaque maximale. Les environnements Azure VM Windows publics sont particulièrement scrutés.

Recommandations immédiates

• Déployer la mise à jour cumulative d'avril 2026 (advisory Microsoft Security Response Center pour CVE-2026-33827) sur l'ensemble du parc Windows en commençant par les hôtes externes.
• En attendant le déploiement complet, activer le filtrage de fragments IPv4 et IPv6 au pare-feu périmétrique et bloquer ICMPv6 type 134/135/136 non sollicités.
• Si IPv6 n'est pas utilisé fonctionnellement, le désactiver sur les interfaces Windows via PowerShell (Disable-NetAdapterBinding -ComponentID ms_tcpip6).
• Activer Windows Defender Exploit Guard et la protection mémoire au niveau noyau (HVCI / VBS) pour limiter les chemins de post-exploitation.
• Surveiller les anomalies tcpip.sys via WER (Windows Error Reporting) et corréler les redémarrages bluescreen post-mises-en-réseau.

Décomposition du score CVSSv3.1

Le vecteur officiel AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H mérite d'être détaillé pour prioriser correctement le patch. Le vecteur d'attaque réseau (AV:N) et l'absence de privilège requis (PR:N) ou d'interaction utilisateur (UI:N) rapprochent cette faille des scénarios wormables classiques. Seule la complexité d'attaque élevée (AC:H) — liée à la nécessité de gagner la fenêtre de course sur le réassemblage de fragments — tempère le score final à 8.1 au lieu d'un 9.8 critique. En contrepartie, l'impact est maximal sur les trois piliers (C:H/I:H/A:H) : un attaquant qui remporte la race obtient une exécution de code arbitraire en mode noyau, donc un contrôle total du système sans palier d'élévation de privilège supplémentaire.

Vecteur d'attaque et conditions d'exploitation

Techniquement, la vulnérabilité se situe dans la routine de réassemblage des paquets fragmentés du pilote tcpip.sys. Deux threads du noyau peuvent accéder concurremment à la même structure de buffer lors du traitement de fragments IPv6 arrivant dans une fenêtre temporelle très courte (de l'ordre de la microseconde), provoquant un use-after-free exploitable. L'attaquant n'a besoin d'aucun compte ni d'aucune interaction côté victime : il suffit d'émettre un flux de paquets fragmentés spécialement construits vers un port TCP/IP accessible du système ciblé. La faible fiabilité d'un essai unique (estimée à quelques pourcents par Rapid7) est compensée par la possibilité de rejouer l'attaque des dizaines de milliers de fois par seconde sur un lien réseau standard, ramenant le taux de succès pratique à des délais de l'ordre de quelques minutes à quelques heures.

Versions et configurations affectées

Sont concernées toutes les branches supportées : Windows 10 22H2, Windows 11 (23H2, 24H2), ainsi que Windows Server 2016, 2019, 2022 et 2025, dès lors que la pile IPv6 est active — configuration par défaut sur l'ensemble de ces systèmes depuis Windows Vista. Les environnements Windows Server Core et Nano Server ne sont pas épargnés puisque le pilote tcpip.sys est chargé indépendamment du mode d'installation. Les hyperviseurs Hyper-V exposant des interfaces réseau virtuelles aux VM invitées Windows héritent également de la surface vulnérable côté guest.

Outils de détection et de chasse

À défaut de signature réseau publique fiable (le trafic d'exploitation reste proche d'un flux IPv6 fragmenté légitime), la détection repose sur trois axes complémentaires : la surveillance des crashs et bugchecks répétés côté noyau via les journaux d'événements Windows (source BugCheck, code 0x139 ou 0x7E fréquemment associés aux corruptions mémoire du sous-système réseau), l'inspection Sysmon des créations de process anormales suivant immédiatement un pic de trafic fragmenté entrant, et le déploiement de règles Suricata/Zeek ciblant les volumes anormaux de fragments IPv6 chevauchants vers un même hôte. Microsoft Defender for Endpoint intègre depuis la mise à jour de définitions du 22 avril 2026 une heuristique comportementale associée à cette CVE (alerte SuspiciousKernelMemoryCorruption).

Mitigations complémentaires au correctif

Pour les parcs ne pouvant pas déployer immédiatement le correctif d'avril 2026, Microsoft recommande le filtrage des fragments IPv6 en périphérie via pare-feu (blocage des en-têtes d'extension de fragmentation non essentiels), l'activation du cloisonnement réseau strict pour isoler les contrôleurs de domaine du trafic entrant non fiable, et à défaut la désactivation temporaire d'IPv6 sur les interfaces exposées — mesure de dernier recours pouvant casser des services dépendants.