CVE-2026-50518 & CVE-2026-56159 : Windows DHCP Server RCE CVSS 9.8

Les faits

Le Patch Tuesday de juillet 2026 a corrigé deux vulnérabilités critiques dans le service Windows DHCP Server : CVE-2026-50518 et CVE-2026-56159, toutes deux classées CVSS 9.8/10 (Critical). Ces failles de type heap-based buffer overflow (CWE-122) permettent à un attaquant non authentifié d'exécuter du code arbitraire à distance sur tout serveur Windows exécutant le rôle DHCP Server, sans aucune interaction utilisateur requise et avec une faible complexité d'attaque. CVE-2026-50518 bénéficie du rating Microsoft "Exploitation More Likely", indiquant qu'un exploit fiable est jugé probable à court terme, selon les analyses de CrowdStrike, Kaspersky et du Zero Day Initiative.

Le protocole DHCP (Dynamic Host Configuration Protocol) est un service réseau fondamental présent dans la quasi-totalité des environnements réseau d'entreprise. Il attribue automatiquement des adresses IP, masques de sous-réseau, passerelles et serveurs DNS aux équipements clients. Sa présence ubiquitaire et son exposition réseau naturelle — il écoute sur les ports UDP 67 et 68 et traite des paquets provenant de n'importe quel équipement du réseau — en font une cible de choix pour les attaquants cherchant un vecteur d'accès initial ou une compromission d'infrastructure critique.

Techniquement, CVE-2026-50518 exploite une validation insuffisante de la taille des entrées lors du traitement de requêtes réseau contenant des données de nom de domaine malveillantes. Le service DHCP Server alloue un tampon de taille insuffisante sur le tas (heap) et y écrit des données au-delà des bornes allouées, provoquant une corruption mémoire classique de type heap overflow. Cette corruption permet à un attaquant d'écraser des structures de données critiques, des métadonnées d'allocateur mémoire ou des pointeurs de fonctions en mémoire, aboutissant à l'exécution de code arbitraire avec les privilèges SYSTEM — le niveau de privilège maximal sur Windows Server.

CVE-2026-56159 suit un mécanisme de heap overflow similaire mais cible une surface d'attaque distincte : l'Option DHCP 43 (Vendor-Specific Information). Cette option est largement utilisée dans les environnements d'entreprise pour transmettre des paramètres de configuration propriétaires à des équipements réseau spécifiques : téléphones IP (VoIP), points d'accès Wi-Fi, imprimantes réseau. En forgeant un paquet DHCP simulant une requête d'un équipement attendant l'Option 43, un attaquant déclenche le heap overflow dans le traitement côté serveur. CVE-2026-56159 cible particulièrement les environnements disposant d'une infrastructure VoIP ou Wi-Fi gérée via DHCP Option 43.

Le vecteur d'attaque commun aux deux CVE (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) est particulièrement alarmant : exploitation possible via le réseau (AV:N), faible complexité (AC:L), aucune authentification requise (PR:N — aucun compte nécessaire), sans interaction utilisateur (UI:N), avec un impact total sur confidentialité, intégrité et disponibilité. N'importe quel équipement sur le même segment réseau qu'un serveur DHCP Windows non patché peut lancer cette attaque en envoyant des paquets UDP spécialement forgés sur le port 67.

La portée affectée par CVE-2026-50518 est exceptionnellement large, selon les analyses de Lansweeper et de CrowdStrike : la vulnérabilité touche toutes les versions supportées de Windows Server depuis 2012 — Windows Server 2012, 2012 R2, 2016, 2019, 2022 et 2025 (y compris les installations Server Core) — et s'étend aux postes Windows 10 versions 1607 et 1809 lorsque le rôle DHCP Server y est activé. Cette couverture sur 14 ans de versions Windows Server signifie que des millions de serveurs dans le monde sont potentiellement affectés, dont une fraction significative dans des environnements legacy à cycles de maintenance longs.

Dans le contexte du Patch Tuesday juillet 2026 — record historique de 622 CVE — ces deux vulnérabilités DHCP n'ont pas reçu l'attention médiatique qu'elles méritent, éclipsées par les zero-days SharePoint (CVE-2026-58644) et les VM escape Hyper-V (CVE-2026-57092). Pourtant, leur CVSS 9.8, leur caractère non-authentifié et leur vecteur réseau en font des candidates idéales pour des exploits wormable — auto-propagants d'un hôte vulnérable à l'autre. L'analogie avec EternalBlue (MS17-010, CVE originale SMBv1) est directe : un service réseau non-authentifié présentant un heap overflow sans interaction utilisateur constitue le profil typique des vers réseau les plus dévastateurs de l'histoire, comme NotPetya et WannaCry en 2017.

Les chercheurs soulignent que le service DHCP Server est souvent colocalisé avec d'autres services critiques sur le même serveur : contrôleurs de domaine Active Directory, serveurs DNS, serveurs NTP. Selon l'analyse de Windows News, une exécution de code SYSTEM via CVE-2026-50518 sur un serveur DHCP couplé à un Domain Controller représente une compromission quasi-totale du domaine Active Directory — ouvrant la voie à une attaque Golden Ticket (forge de tickets Kerberos) ou DCSync (extraction de hashs de mots de passe de l'annuaire). Microsoft n'avait signalé aucune exploitation active de CVE-2026-50518 ou CVE-2026-56159 au 27 juillet 2026, mais le délai historique entre divulgation et exploitation effective pour ce type de vulnérabilités est typiquement de deux à quatre semaines.

Impact et exposition

Le service DHCP Server Windows est présent dans la quasi-totalité des architectures réseau d'entreprise basées sur Windows, des PME aux grands groupes. Il est fréquemment installé sur des contrôleurs de domaine Active Directory ou des serveurs d'infrastructure critiques. Une RCE SYSTEM via CVE-2026-50518 sur un serveur DHCP couplé à un DC représente une compromission de l'annuaire Active Directory et, par extension, de toutes les ressources contrôlées par ce domaine.

CVE-2026-50518 est particulièrement préoccupante dans les environnements réseau segmentés de type VLAN industriel (OT/ICS) ou médical, où le service DHCP peut être la seule interface réseau partagée entre segments de sécurité différents. Des attaquants ayant pénétré un segment moins sécurisé — réseau invité, IoT, OT — peuvent exploiter CVE-2026-50518 pour pivoter vers des segments critiques en compromettant le serveur DHCP partagé. CVE-2026-56159 cible plus spécifiquement les environnements VoIP et Wi-Fi — répandus dans les open spaces, hôpitaux et établissements éducatifs — via leur dépendance à l'Option 43 DHCP.

Pour les organisations ayant désactivé Windows Update ou maintenant des politiques de mise à jour trimestrielles (pratique courante dans les environnements OT et industriels), le risque est maximal. Un serveur DHCP Windows non patché sur un réseau interne — même considéré comme sûr — est vulnérable à une attaque RCE SYSTEM par n'importe quel hôte du même segment réseau. La menace est autant interne (insider malveillant, poste compromis) qu'externe (accès réseau obtenu via VPN, Wi-Fi ou IoT compromis).

L'impact potentiel en termes de disponibilité est également critique indépendamment de l'exécution de code : un heap overflow non exploitable à des fins d'exécution peut provoquer le crash du service DHCP Server, déclenchant une panne réseau à l'échelle du périmètre DHCP. Les équipements clients ne pouvant plus obtenir ou renouveler leurs baux DHCP se retrouvent sans connectivité — un vecteur de déni de service réseau à large impact opérationnel.

Recommandations immédiates

• Appliquer immédiatement les mises à jour Microsoft du Patch Tuesday juillet 2026 pour tous les serveurs Windows avec le rôle DHCP Server actif — Microsoft Security Advisory CVE-2026-50518 et CVE-2026-56159
• Prioriser les serveurs DHCP accessibles depuis plusieurs segments VLAN ou couplés à des contrôleurs de domaine Active Directory
• Vérifier et restreindre les règles de pare-feu réseau pour limiter l'accès aux ports UDP 67/68 aux seuls segments légitimes
• Si le rôle DHCP Server est installé mais inutilisé : désactiver le service (services.msc → "DHCP Server" → Arrêter + Type de démarrage : Désactivé)
• Activer et surveiller les logs d'événements DHCP Server (Event Viewer → Applications and Services Logs → Microsoft → Windows → DHCP-Server)
• Pour CVE-2026-56159 : auditer les équipements utilisant l'Option 43 et vérifier les paquets DHCP Option 43 inattendus via votre solution NDR ou une capture réseau (Wireshark, Zeek)
• Déployer une règle IDS/IPS spécifique aux paquets DHCP malformés sur les segments où le patch ne peut pas être appliqué immédiatement