En bref

  • CVE-2026-70147 et CVE-2026-70153 : heap buffer overflow critique dans le pilote Microsoft PostScript/PCL6, CVSS 9.8 chacun
  • Systèmes affectés : Windows 10 (toutes versions), Windows 11, Windows Server 2016/2019/2022/2025 avec le pilote PostScript installé
  • Action urgente : appliquer immédiatement les correctifs Microsoft — Patch Tuesday octobre 2026 — exploitables sans authentification via le réseau

Les faits

Le 13 octobre 2026, dans le cadre du Patch Tuesday d'octobre 2026, Microsoft a divulgué et corrigé deux vulnérabilités critiques affectant le pilote Windows PostScript/PCL6 : CVE-2026-70147 et CVE-2026-70153. Les deux failles partagent le même type (CWE-122, Heap-based Buffer Overflow) et le même score CVSS 3.1 de 9.8, avec le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Elles permettent à un attaquant non authentifié d'exécuter du code arbitraire à distance en envoyant un travail d'impression (print job) ou un paquet réseau spécialement forgé vers un service d'impression exposé.

Le pilote Windows PostScript (également connu sous le nom de pilote PostScript/PCL6 ou Microsoft PostScript Printer Driver) est un composant Windows chargé d'interpréter les flux PostScript et PCL6 reçus par le service spouleur d'impression (Print Spooler). PostScript est un langage de description de page développé par Adobe Systems, utilisé par la plupart des imprimantes professionnelles. La faille réside dans le parsing de structures PostScript complexes : lors du traitement d'un certain type de données PostScript forgées, le pilote alloue un tampon insuffisamment dimensionné sur le tas (heap), puis y copie davantage de données que prévu, corrompant les structures de gestion de mémoire adjacentes.

Les deux CVE correspondent à deux vecteurs d'attaque distincts mais tous deux atteignant le même code vulnérable. CVE-2026-70147 est exploitable via l'envoi d'un travail d'impression directement au service d'impression Windows (via IPP, SMB ou LPD), tandis que CVE-2026-70153 peut être déclenchée via un paquet réseau spécialement forgé vers un service de découverte d'imprimantes exposé sur le réseau. Dans les deux cas, aucune authentification n'est requise et aucune interaction utilisateur n'est nécessaire — les conditions idéales pour une exploitation wormable dans un réseau d'entreprise.

Le service spouleur d'impression Windows (Print Spooler) a une longue histoire de vulnérabilités critiques. Les plus récentes incluent PrintNightmare (CVE-2021-34527, CVSS 8.8), CVE-2022-38028 (exploitée par APT28, ajoutée au KEV CISA) et CVE-2023-36761. La récurrence de vulnérabilités critiques dans ce composant s'explique par sa complexité — il parse des langages de programmation complets comme PostScript — et par sa surface d'attaque : le port TCP 445 (SMB) via lequel il reçoit des travaux d'impression est fréquemment exposé dans les réseaux d'entreprise, parfois même vers Internet dans des configurations non sécurisées.

Selon les analyses publiées par Cisco Talos Intelligence (advisory Talos-2026-10), CVE-2026-70147 est classée "Exploitation More Likely" dans l'évaluation d'exploitabilité Microsoft — contrairement à CVE-2026-96934 (DHCP) classée "Less Likely". Cette évaluation est cohérente avec le fait que les failles de type heap buffer overflow dans des parseurs de format de fichier/flux sont généralement plus facilement exploitables que les use-after-free dans des protocoles réseau, car les techniques de heap grooming permettent de prédire avec une bonne fiabilité l'état du tas au moment de l'overflow.

Les systèmes affectés comprennent Windows 10 en toutes versions (de 1607 à 22H2), Windows 11 (22H2, 23H2, 24H2), Windows Server 2016, Windows Server 2019, Windows Server 2022, et Windows Server 2025. L'advisory MSRC précise que le pilote PostScript/PCL6 n'est pas activé par défaut sur les postes Windows clients — il doit être explicitement installé lors de l'ajout d'une imprimante PostScript. En revanche, sur les serveurs Windows déployés comme serveurs d'impression (Print Server), le pilote est généralement présent et le service Print Spooler est actif et exposé sur le réseau interne.

Ces deux CVE s'inscrivent dans un contexte plus large du Patch Tuesday d'octobre 2026, qui comprend également des failles critiques dans Exchange Server, Hyper-V et MSMQ. L'ensemble forme un tableau de risque élevé pour les équipes IT qui n'ont pas encore déployé les correctifs d'octobre — une fenêtre de 15 jours s'est déjà écoulée depuis la publication des patches le 13 octobre, et les acteurs malveillants ont eu le temps d'analyser les correctifs pour en extraire les informations nécessaires au développement d'exploits.

Cisco Talos a publié des règles Snort (SID 64821, 64822) permettant de détecter des tentatives d'exploitation des deux CVE. Ces signatures sont disponibles pour les systèmes IDS/IPS compatibles avec les règles Snort, notamment Cisco Firepower, Snort 3.x et Suricata. Leur déploiement constitue une mesure de détection complémentaire au patch, particulièrement utile pendant la période de déploiement des correctifs.

Impact et exposition

Les organisations les plus exposées sont celles qui opèrent des serveurs d'impression Windows accessibles depuis des segments réseau étendus. Dans les grandes entreprises, les serveurs d'impression centralisés peuvent être accessibles depuis l'ensemble des postes de travail du réseau interne — parfois plusieurs milliers de machines. Un attaquant ayant compromis un poste utilisateur ou accédant au réseau via une autre vulnérabilité peut exploiter ces failles pour compromettre le serveur d'impression et pivoter vers d'autres systèmes.

Dans le contexte d'une attaque ransomware, un serveur d'impression compromis avec SYSTEM privileges offre un point d'ancrage idéal pour le déploiement de la charge utile chiffrante sur l'ensemble du réseau. Les serveurs d'impression Windows sont également fréquemment mal supervisés par les équipes SOC, les logs du service Print Spooler étant peu analysés dans les règles de détection classiques.

La présence de CVE-2026-70147 dans la catégorie "Exploitation More Likely" suggère que des chercheurs en sécurité ou des acteurs malveillants pourraient disposer ou développer prochainement d'un exploit fonctionnel. Aucune exploitation active n'a été confirmée au 28 octobre 2026, mais l'historique des failles Print Spooler (PrintNightmare exploité massivement en quelques jours après divulgation) impose une réponse urgente.

Recommandations immédiates

  • Appliquer les correctifs Microsoft pour CVE-2026-70147 et CVE-2026-70153 via Windows Update ou WSUS — Microsoft Security Advisory, Patch Tuesday octobre 2026
  • Si le service Print Spooler n'est pas nécessaire sur des serveurs non-imprimantes, désactiver le service : Stop-Service Spooler -Force; Set-Service Spooler -StartupType Disabled
  • Bloquer au niveau pare-feu les ports TCP 139, 445 et 515 depuis les segments réseau non maîtrisés vers les serveurs d'impression
  • Déployer les signatures Snort/Suricata Cisco Talos SID 64821 et 64822 pour détecter les tentatives d'exploitation
  • Auditer les serveurs exposant le service Print Spooler sur le réseau et prioriser le patch sur les serveurs les plus exposés

⚠️ Urgence

CVE-2026-70147 classée "Exploitation More Likely" par Microsoft — CVSS 9.8, sans authentification, via réseau. L'historique PrintNightmare montre que les failles Print Spooler sont exploitées massivement et rapidement. Patcher ou désactiver le service immédiatement sur tous les serveurs d'impression.

Comment savoir si je suis vulnérable ?

Vérifiez si le service Print Spooler est actif : Get-Service Spooler sous PowerShell. S'il est en état "Running", vérifiez si le pilote PostScript est installé : Get-PrinterDriver | Where-Object {$_.Name -like "*PostScript*"}. Ensuite, confirmez l'application du patch avec wmic qfe list | findstr KB5046707. L'absence de résultat indique que le correctif n'est pas installé. En cas de doute, consultez l'advisory MSRC CVE-2026-70147.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits ciblés pour identifier et corriger vos vulnérabilités.

Demander un audit