CVE-2026-73009 : Windows SSTP RCE CVSS 9.8 — Patch Tuesday septembre 2026 record

Les faits

Le second mardi de septembre 2026, Microsoft a publié ce qui est désormais le plus grand Patch Tuesday de l'histoire de l'entreprise : 973 vulnérabilités corrigées, dont 113 classées Critiques. Ce record dépasse de loin les précédents Patch Tuesday et signale une densité de vulnérabilités sans précédent dans l'écosystème Windows. Parmi les correctifs les plus urgents de ce cycle figure CVE-2026-73009, une vulnérabilité d'exécution de code à distance (RCE) dans le service Windows Secure Socket Tunneling Protocol (SSTP) avec un score CVSS 3.1 de 9.8 (Critique).

CVE-2026-73009 est une vulnérabilité RCE non-authentifiée dans le service sstpsvc.dll de Windows, responsable du traitement des connexions SSTP entrantes. SSTP est un protocole VPN propriétaire Microsoft qui transporte des connexions PPP (Point-to-Point Protocol) à travers des connexions HTTPS sur le port TCP 443. Il est intégré dans le rôle Windows Server Routing and Remote Access Service (RRAS) et est couramment déployé dans les entreprises comme endpoint VPN pour les collaborateurs distants et les connexions site-à-site.

Le mécanisme d'exploitation est le suivant : un attaquant distant, sans aucune authentification préalable, envoie un paquet SSTP spécialement forgé au listener SSTP (port TCP 443). Le traitement de ce paquet par le service sstpsvc.dll déclenche une exécution de code arbitraire dans le contexte du service, généralement avec des privilèges élevés (SYSTEM ou Network Service). Le vecteur CVSS est entièrement défavorable : vecteur d'attaque réseau (AV:N), complexité faible (AC:L), aucun privilège requis (PR:N), aucune interaction utilisateur nécessaire (UI:N), avec un impact total sur la confidentialité (C:H), l'intégrité (I:H) et la disponibilité (A:H).

La surface d'attaque de CVE-2026-73009 est particulièrement étendue. Premièrement, SSTP utilise le port TCP 443, identique au trafic HTTPS normal. Les pare-feux réseau configurés pour autoriser le HTTPS entrant permettent implicitement l'accès au listener SSTP, rendant le filtrage réseau beaucoup plus difficile sans DPI (Deep Packet Inspection). Deuxièmement, les serveurs SSTP sont par définition exposés sur Internet pour permettre aux collaborateurs distants de se connecter — leur accessibilité publique est fonctionnellement nécessaire, mais représente une exposition directe à la vulnérabilité.

Microsoft n'a pas publié d'indication d'exploitation active au moment du Patch Tuesday. Cependant, les analystes de Tenable, CrowdStrike et BleepingComputer classent CVE-2026-73009 parmi les priorités maximales de ce cycle de patching. La raison : le profil RCE non-authentifiée sur un service VPN exposé Internet correspond exactement aux vulnérabilités historiquement transformées en armes dans les 30 à 90 jours suivant leur publication — comme l'ont démontré CVE-2021-40539 (Zoho ManageEngine), CVE-2023-34362 (MOVEit Transfer), et CVE-2024-3400 (Palo Alto PAN-OS). Ces précédents montrent que même sans PoC public au jour J, ces vulnérabilités deviennent des vecteurs ransomware courants en quelques semaines.

Le contexte du Patch Tuesday septembre 2026 est lui-même historique. Les 973 CVE publiées incluent 81 RCE critiques, 20 élévations de privilèges critiques, et couvrent des composants aussi variés que Windows DNS Server, DHCP Server, NFS, MSMQ, et 22 vulnérabilités critiques dans Microsoft Office (dont 12 exploitables via le simple volet de prévisualisation, sans clic, sans ouverture de fichier, sans macro). Deux zero-days confirmés exploités font également partie du lot : CVE-2026-81963 (Windows Update Stack EoP, élévation vers SYSTEM) et CVE-2026-85880 (Windows ALPC EoP, zero-day exploité in-the-wild). Parmi les 17 CVE d'infrastructure réseau critiques non-authentifiées de ce Patch Tuesday, CVE-2026-73009 se distingue par sa cible directe : les endpoints VPN d'entreprise.

SSTP a une longue histoire de vulnérabilités. Des CVE précédentes avaient déjà ciblé ce protocole (CVE-2022-34714, CVE-2023-35309), et chaque fois que Microsoft corrige une RCE SSTP, les chercheurs en sécurité offensive analysent rapidement la différence de binaire (binary diffing) pour identifier le patch et rétro-concevoir la vulnérabilité. Ce schéma accélère le développement de PoC exploitables de quelques semaines à quelques jours dans certains cas. La nature critique et le vecteur non-authentifié de CVE-2026-73009 en font un candidat prioritaire pour ce type d'analyse post-patch.

Microsoft a publié les correctifs via Windows Update, WSUS et Microsoft Update Catalog. Les KB spécifiques varient selon la version de Windows Server et sont détaillés dans le Microsoft Security Response Center (MSRC) sous l'identifiant CVE-2026-73009. CVE-2026-73009 ne dispose pas de workaround officiel permettant de mitiger la faille sans désactiver le service SSTP — ce qui implique que les organisations ne peuvent pas simplement appliquer une configuration temporaire ; le patching effectif est la seule solution durable.

Impact et exposition

CVE-2026-73009 affecte directement les organisations ayant déployé le service RRAS de Windows Server avec SSTP activé. Dans de nombreuses PME et ETI françaises, le SSTP Windows Server représente la solution VPN par défaut pour les accès distants, précisément parce qu'il est intégré nativement sans licence supplémentaire. Ces organisations sont exposées si le patching n'est pas appliqué rapidement.

La surface d'attaque est amplifiée par la généralisation du télétravail depuis 2020 : les serveurs SSTP déployés massivement pour le travail à distance sont, par construction, directement exposés sur Internet. Un attaquant effectuant un scan Shodan ou Censys sur le port TCP 443 avec détection de bannière SSTP peut identifier des cibles potentielles à grande échelle, rendant cette vulnérabilité particulièrement dangereuse dans un contexte d'exploitation opportuniste ou de ransomware. Les groupes cybercriminels spécialisés dans les accès initiaux (Initial Access Brokers) vont probablement cibler CVE-2026-73009 activement dans les prochaines semaines.

Dans le contexte du secteur public français, les organismes ayant déployé des solutions VPN basées sur Windows Server RRAS dans le cadre de plans de continuité d'activité doivent considérer CVE-2026-73009 comme priorité critique. Les organisations relevant de la directive NIS2 et celles opérant des Opérateurs d'Importance Vitale (OIV) ou des Opérateurs de Services Essentiels (OSE) doivent traiter ce correctif en urgence et documenter leur processus de remédiation pour leur reporting ANSSI.

Recommandations immédiates

• Appliquer immédiatement les mises à jour Microsoft de septembre 2026 via Windows Update, WSUS ou Microsoft Update Catalog — identifier le KB spécifique dans le MSRC sous CVE-2026-73009
• Si le patching immédiat est impossible : désactiver temporairement le service SSTP via PowerShell (Set-VpnServerConfiguration -TunnelType SSTP -Disable) ou la console RRAS, et restreindre le port 443 entrant aux IP autorisées
• Vérifier si SSTP est réellement utilisé : il peut être activé par défaut sur les serveurs RRAS même si les clients se connectent via d'autres protocoles (IKEv2, L2TP)
• Auditer les logs de connexion SSTP (Event ID 20272, 20225 dans Windows Event Log) pour détecter des tentatives d'exploitation antérieures au patching
• Envisager la migration vers des solutions VPN plus modernes (WireGuard, IKEv2 avec certificats, solutions Zero Trust Network Access) qui offrent une meilleure hygiène sécurité à long terme