CVE-2026-62815 : Microsoft QUIC RCE non-auth CVSS 9.8

Les faits

Le 12 août 2026, Microsoft a publié son Patch Tuesday mensuel en corrigeant 398 CVE dont 62 classées Critical. Parmi elles, CVE-2026-62815 se distingue par un profil d'exploitation particulièrement préoccupant : un use-after-free dans msquic.dll, la bibliothèque Microsoft implémentant le protocole QUIC et constituant la couche de transport d'HTTP/3. La faille permet à un attaquant distant non authentifié d'exécuter du code arbitraire sans aucune interaction utilisateur. Le score CVSS v3.1 est de 9.8 Critical, avec le vecteur AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, ce qui traduit une exploitabilité réseau maximale : pas de complexité d'attaque élevée, aucun privilège requis, aucune action de la victime nécessaire.

QUIC (Quick UDP Internet Connections) est un protocole de transport développé initialement par Google, puis standardisé par l'IETF en 2021 sous la RFC 9000. Il constitue la couche de transport d'HTTP/3, la troisième génération du protocole HTTP. Contrairement à TCP sur lequel reposent HTTP/1.1 et HTTP/2, QUIC opère entièrement sur UDP, ce qui lui confère des avantages en termes de latence, de gestion de la perte de paquets et de migration de connexion. Ces caractéristiques ont conduit à une adoption rapide : selon les analyses de CrowdStrike, HTTP/3 alimente environ 13,5 millions de sites web dans le monde. Microsoft QUIC (msquic) est la bibliothèque utilisée dans Windows pour toutes les communications HTTP/3, notamment par IIS, Kestrel (ASP.NET Core), et plusieurs services internes Windows. C'est cette omniprésence qui rend CVE-2026-62815 aussi critique.

Techniquement, la vulnérabilité est un use-after-free (CWE-416) dans la gestion des sessions QUIC au niveau de msquic.dll. Un use-after-free se produit lorsqu'un objet mémoire est libéré (free) mais que le code continue à l'utiliser ultérieurement (use-after). Dans ce cas précis, un objet représentant une session QUIC est libéré dans certaines conditions de traitement concurrent de paquets UDP entrants, mais une référence à cet objet subsiste dans le flux d'exécution. Un attaquant qui forge des paquets UDP/443 spécialement construits peut déclencher cette condition de race memory. Avec les techniques modernes de heap spray, il est possible de contrôler le contenu de la zone mémoire libérée pour placer des données malveillantes et aboutir à l'exécution de code arbitraire dans le contexte du service vulnérable.

La nature UDP du protocole QUIC rend ce vecteur particulièrement insidieux pour les défenses traditionnelles. Contrairement à TCP, UDP est stateless : il n'existe pas de connexion préalable à établir. Un attaquant peut envoyer directement un paquet UDP/443 malformé sans établissement de session, réduisant considérablement le bruit réseau détectable par les IDS/IPS classiques. De plus, UDP/443 est souvent autorisé dans les règles de pare-feu orientées HTTPS, ce qui peut conduire à laisser passer ce vecteur d'attaque même dans des environnements correctement segmentés. Les journaux d'accès HTTP classiques (IIS access logs) ne capturent pas le trafic UDP, rendant la détection a posteriori difficile sans capture réseau dédiée.

Les systèmes affectés par CVE-2026-62815 sont : Windows 11 (toutes versions, x64 et ARM64), Windows Server 2022 (Standard et Datacenter), et Windows Server 2025. Les versions plus anciennes — Windows 10, Windows Server 2019, Windows Server 2016 — n'implémentent pas nativement msquic dans leurs composants systèmes exposés et ne sont pas directement concernées. Les applications .NET et ASP.NET Core qui s'appuient sur msquic et tournent sur des systèmes Windows peuvent également être affectées si le runtime .NET non patché est utilisé.

Au moment de la publication, Microsoft n'a pas confirmé d'exploitation active in-the-wild pour CVE-2026-62815. Cependant, les analystes du Zero Day Initiative (ZDI) de Trend Micro, repris par SecurityWeek et SecurityAffairs dans leurs analyses du Patch Tuesday d'août 2026, soulignent unanimement que le profil de cette vulnérabilité — CVSS 9.8, RCE non authentifié dans un composant réseau à large surface d'exposition — attire systématiquement l'attention des groupes de menace dans les jours suivant la publication d'un correctif. Le patch lui-même facilite la rétro-ingénierie : les acteurs malveillants comparent les binaires avant/après correction pour identifier précisément la root cause. Selon l'historique de vulnérabilités similaires (MS17-010/EternalBlue, CVE-2021-34527/PrintNightmare), des PoC publics apparaissent typiquement dans un délai de 7 à 21 jours post-patch.

Le potentiel wormable de CVE-2026-62815 est l'élément le plus préoccupant souligné par les analystes de Tenable et de Rapid7. Un composant réseau système écoutant sur un port standard (UDP/443), exploitable sans authentification ni interaction utilisateur, avec une complexité d'attaque faible, remplit toutes les conditions pour qu'un ver réseau autonome se propage de machine vulnérable en machine vulnérable sans intervention humaine. Ce scénario rappelle le ver WannaCry (2017, basé sur EternalBlue/MS17-010) qui avait infecté plus de 230 000 systèmes en 24 heures dans 150 pays. Bien que les conditions exactes soient différentes, le principe de propagation automatisée reste applicable si un PoC fiable est développé et weaponisé.

Microsoft a corrigé CVE-2026-62815 en mettant à jour msquic.dll dans les mises à jour cumulatives du 12 août 2026. Le correctif améliore la gestion du cycle de vie des objets de session QUIC, s'assurant que les références à des objets libérés sont correctement annulées. Talos Intelligence (Cisco) a publié des règles Snort pour détecter les tentatives d'exploitation (SID 64890-64895), couvrant les patterns de paquets QUIC malformés correspondant à la root cause identifiée. Ces règles sont disponibles dans les mises à jour Snort/Firepower du 13 août 2026.

Impact et exposition

CVE-2026-62815 concerne principalement les environnements Windows modernes : Windows 11 et les plateformes serveur Windows Server 2022 et 2025. Les organisations ayant déployé des serveurs web IIS avec support HTTP/3 activé, des applications ASP.NET Core Kestrel exposant QUIC/HTTP/3, ou des services cloud Azure sur VMs Windows sont les plus exposées. Les serveurs directement accessibles depuis Internet sans pare-feu filtrant UDP/443 constituent les cibles prioritaires d'une éventuelle campagne d'exploitation.

Les conditions d'exploitation sont particulièrement défavorables pour les défenseurs : aucune authentification n'est requise, aucune interaction utilisateur n'est nécessaire, et le trafic UDP malveillant échappe aux journaux d'accès HTTP classiques. Les équipes de sécurité doivent activer une surveillance spécifique du trafic UDP/443 via des outils de capture réseau (Zeek, Suricata avec décodage QUIC, ou les règles Snort de Talos) pour détecter des tentatives d'exploitation. Un flux de paquets UDP/443 anormalement élevé depuis une source IP unique peut être un indicateur précoce.

Selon des analyses de Shodan publiées après le Patch Tuesday, des dizaines de milliers de systèmes Windows exposent UDP/443 sur Internet public, dont une proportion difficile à évaluer n'a pas encore appliqué les mises à jour d'août 2026. Les environnements cloud Azure hébergeant des VMs Windows Server 2022/2025, ainsi que les déploiements hybrides avec exposition directe, sont particulièrement concernés. Le CERT-FR mentionne cette vulnérabilité dans son bulletin d'actualité CERTFR-2026-ACT-034 couvrant les vulnérabilités Microsoft du mois d'août 2026.

L'aspect wormable potentiel est l'élément le plus alarmant. Si un PoC fiable est weaponisé, il pourrait se propager automatiquement à travers des réseaux internes Windows modernes, compromettant des dizaines ou des centaines de systèmes en quelques minutes. Les environnements où Windows 11 et Windows Server 2022/2025 coexistent sur des réseaux non segmentés présentent un risque de propagation latérale significatif.

Recommandations immédiates

• Appliquer immédiatement les mises à jour cumulatives de sécurité Microsoft du 12 août 2026 : KB5120413 (Windows 11), KB5120385 (Windows Server 2022), KB5120393 (Windows Server 2025) — Microsoft Security Update Guide August 2026, Advisory CVE-2026-62815
• Mitigation temporaire si patch impossible : bloquer le trafic UDP/443 entrant au niveau du pare-feu périmétrique — les navigateurs et clients replieront automatiquement sur HTTP/2 via TCP/443
• Désactiver HTTP/3/QUIC dans IIS : dans IIS Manager, accéder aux bindings avancés du site et décocher le support HTTP/3 ; dans Kestrel (ASP.NET Core), retirer HttpProtocols.Http3 de la configuration
• Déployer les règles Snort de Talos Intelligence (SID 64890-64895) pour détecter les tentatives d'exploitation sur les équipements Cisco Firepower/NGFW
• Activer la surveillance du trafic UDP/443 dans votre SIEM et alerter sur des volumes anormaux de paquets UDP/443 depuis des sources inconnues
• Prioriser les serveurs Windows directement exposés sur Internet pour les opérations de patch — dans les 48 heures suivant cette alerte