CVE-2026-69730 : Windows DNS Server RCE non-auth CVSS 9.8

Les faits

Le 9 septembre 2026, Microsoft a publié son Patch Tuesday de septembre 2026, corrigeant un nombre record de 974 vulnérabilités. Parmi elles, CVE-2026-69730 ressort comme l'une des plus dangereuses : une faille de type Use-After-Free (UAF) dans le service Windows DNS Server, notée CVSS 9.8 en base score — soit le niveau Critical. La vulnérabilité permet à un attaquant non authentifié d'exécuter du code arbitraire à distance sur tout système exécutant le service DNS de Windows, sans nécessiter d'interaction de l'utilisateur ni de privilèges préalables.

Sur le plan technique, CVE-2026-69730 est classée CWE-416 (Use After Free). Le vecteur d'attaque complet selon le scoring CVSS 3.1 est : AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Cela signifie que l'attaque est réalisable depuis le réseau (voire Internet), avec une complexité faible, sans authentification préalable et sans aucune interaction requise de la part d'un utilisateur. L'impact est total sur la confidentialité, l'intégrité et la disponibilité du système compromis.

La root cause technique réside dans la gestion mémoire du parser de paquets DNS. Lors du traitement d'une requête DNS spécialement forgée, un objet libéré en mémoire peut être réutilisé (use-after-free), permettant à un attaquant de corrompre le tas (heap) et d'obtenir le contrôle du flux d'exécution. L'exploitation permet d'atteindre l'exécution de code arbitraire dans le contexte du service DNS, qui tourne généralement avec des privilèges élevés sur les systèmes Windows Server.

Microsoft liste parmi les versions affectées : Windows Server 2012, 2012 R2, 2016, 2019, 2022 et 2025, ainsi que leurs variantes Server Core. Windows 10 versions 1607 (Anniversary Update) et 1809 (October 2018 Update) sont également affectées dans la mesure où le rôle DNS peut y être installé. L'ensemble du parc de contrôleurs de domaine Active Directory est donc potentiellement exposé, car Microsoft installe par défaut le rôle DNS sur chaque contrôleur de domaine et recommande de le conserver en place.

La portée réelle de cette vulnérabilité dépasse la simple disponibilité d'un service : un serveur DNS répond aux requêtes réseau par conception, il est accessible depuis de nombreux hôtes du réseau interne, et dans les architectures Active Directory, il cohabite sur les contrôleurs de domaine avec les services LDAP, Kerberos et NTLM. Compromettre le processus DNS revient donc à obtenir un point d'appui sur l'infrastructure d'identité centrale de l'organisation. Les analystes de Cisco Talos et de Tenable soulignent ce risque aggravé dans leurs analyses respectives publiées le 9 septembre 2026.

Microsoft a évalué CVE-2026-69730 avec la mention « Exploitation More Likely » dans son index de prévisibilité d'exploitation (Exploitation Likelihood), signifiant que l'éditeur anticipe une probabilité plus élevée que la moyenne de voir des exploits fonctionnels apparaître dans un délai rapproché. À date de publication, aucun Proof of Concept (PoC) public n'a été divulgué et aucune exploitation in-the-wild n'est confirmée. Cependant, la combinaison d'un CVSS 9.8, d'un service exposé réseau par défaut sur les contrôleurs de domaine, et de la mention « Exploitation More Likely » place cette CVE au sommet des priorités de patching du Patch Tuesday de septembre 2026.

Du côté de la chronologie, la vulnérabilité a été découverte et signalée à Microsoft par des chercheurs en sécurité externes. Microsoft a développé et testé un correctif sur l'ensemble des versions concernées avant de le publier simultanément le 9 septembre 2026 dans le cadre du Patch Tuesday. Cisco Talos Intelligence a publié des règles Snort pour détecter les tentatives d'exploitation de CVE-2026-69730, et plusieurs éditeurs de solutions EDR ont mis à jour leurs signatures de détection en conséquence. L'évaluation par Penligent AI et d'autres analystes confirme le caractère critique de cette faille et la nécessité d'une correction immédiate.

Il convient de noter que CVE-2026-69730 n'est pas la seule faille DNS corrigée ce mois-ci : Microsoft a en réalité patché neuf vulnérabilités dans Windows DNS Server lors du Patch Tuesday de septembre 2026, ce qui témoigne d'un audit de sécurité approfondi de la composante DNS. Parmi ces neuf CVE, CVE-2026-69730 est la plus sévère en termes de score CVSS et de vecteur d'attaque. Selon les données de SentinelOne, une faille DNS similaire (CVE-2026-62787, CVSS 9.8, UAF) avait déjà été corrigée en début d'année 2026, illustrant une tendance aux vulnérabilités mémoire dans l'implémentation DNS de Microsoft.

Impact et exposition

La surface d'attaque est particulièrement étendue : tout réseau d'entreprise fonctionnant sur infrastructure Microsoft Active Directory expose par défaut ses contrôleurs de domaine sur le port UDP/TCP 53 (DNS). Dans de nombreuses configurations, ce port est accessible depuis l'ensemble du réseau interne, voire depuis des zones DMZ. Une exploitation réussie de CVE-2026-69730 permettrait à un attaquant positionné sur le réseau interne — ou ayant accès à un segment réseau pouvant joindre le DNS — d'exécuter du code avec les privilèges du service DNS, ouvrant la voie à une escalade de privilèges et à une compromission complète du domaine Active Directory.

Les organisations les plus exposées sont celles qui n'ont pas segmenté le trafic DNS, qui autorisent les requêtes récursives depuis des hôtes non maîtrisés, ou dont les contrôleurs de domaine sont accessibles depuis des réseaux invités ou partenaires. Les environnements cloud hybrides (Azure AD Connect, ADFS) sont également concernés si les DNS servers on-premises sont dans le périmètre. À ce jour, aucune exploitation confirmée in-the-wild n'a été détectée, mais le délai habituel entre la publication d'un patch et l'apparition d'exploits est de l'ordre de quelques jours à quelques semaines pour les failles de cette sévérité.

Les petites et moyennes entreprises sans équipe de sécurité dédiée sont particulièrement vulnérables : elles exploitent souvent des environnements Active Directory non segmentés, avec des serveurs Windows non patchés depuis plusieurs cycles. Pour ces organisations, CVE-2026-69730 représente un risque de compromission totale de leur infrastructure d'identité à partir d'un simple paquet DNS forgé.

Recommandations immédiates

• Appliquer immédiatement le correctif Microsoft pour CVE-2026-69730 via Windows Update ou WSUS — advisory Microsoft Security Response Center (MSRC) CVE-2026-69730
• Prioriser le patching des contrôleurs de domaine exposant le rôle DNS, en commençant par ceux accessibles depuis des segments réseau non maîtrisés
• Si le patch ne peut être déployé immédiatement : restreindre l'accès au port TCP/UDP 53 depuis les hôtes non maîtrisés via les règles de pare-feu Windows ou les ACL réseau
• Désactiver la récursivité DNS sur les serveurs exposés si cette fonctionnalité n'est pas indispensable (commande : dnscmd /Config /NoRecursion 1)
• Activer la journalisation DNS étendue et surveiller les requêtes malformées ou volumineuses sur le port 53
• Déployer les règles Snort publiées par Cisco Talos Intelligence pour détecter les tentatives d'exploitation