CVE-2026-85880 : Windows ALPC zero-day exploité, escalade SYSTEM

Les faits

Le 9 septembre 2026, Microsoft a publié dans le cadre de son Patch Tuesday mensuel un correctif pour CVE-2026-85880, une vulnérabilité d'élévation de privilèges affectant le composant Windows ALPC (Advanced Local Procedure Call). Cette faille, de type débordement de tampon basé sur le tas (heap-based buffer overflow), est confirmée comme activement exploitée en conditions réelles avant la publication du correctif — ce qui en fait un véritable zero-day. Son score CVSS base s'établit à 7.8 (High), avec un vecteur local (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H).

L'ALPC est un mécanisme fondamental de communication inter-processus (IPC) intégré dans chaque version supportée de Windows. Il assure notamment les échanges entre services système critiques, les appels de procédure locale (RPC local), et de nombreux composants du noyau Windows. Sa position centrale dans l'architecture du système d'exploitation lui confère un impact maximal : toute vulnérabilité dans ALPC touche indistinctement les postes de travail, les serveurs applicatifs, les contrôleurs de domaine Active Directory et les environnements VDI.

Techniquement, CVE-2026-85880 résulte de la combinaison de deux faiblesses : un débordement de tampon sur le tas dû à l'absence de vérification des limites (bounds checking insuffisant) et l'utilisation d'une ressource non initialisée. Cette double condition crée une primitive classique de type write-what-where, permettant à un attaquant de corrompre des structures mémoire critiques du noyau ou d'écraser des pointeurs de fonctions. Dans un contexte AppContainer (le modèle sandbox de faible privilège utilisé par les applications UWP et les navigateurs), l'exploitation aboutit à un escape du sandbox vers le processus hôte, suivi d'une élévation vers SYSTEM.

La découverte a été attribuée aux équipes de Volexity et Proofpoint, deux sociétés majeures en threat intelligence et réponse à incident. Leurs analyses révèlent des campagnes d'exploitation ciblées actives avant la divulgation publique. Les vecteurs observés — sophistication technique, ciblage d'entreprises spécifiques — suggèrent l'implication d'acteurs de menace avancés (APT), vraisemblablement à motivation étatique, qui utilisent les vulnérabilités ALPC comme voie d'escalade fiable en phase post-compromission.

La CISA (Cybersecurity and Infrastructure Security Agency) a officiellement inscrit CVE-2026-85880 dans son catalogue KEV (Known Exploited Vulnerabilities) le 8 septembre 2026, à J-1 de la publication du correctif Microsoft — confirmant que l'exploitation précède le patch. Les agences fédérales américaines disposent d'un délai de 21 jours pour appliquer le correctif. En France, le CERT-FR a relayé cette information dans son bulletin d'actualité CERTFR-2026-ACT-037.

Le Patch Tuesday de septembre 2026 constitue un record absolu avec 973 CVE corrigés simultanément — un volume jamais atteint. Parmi ces correctifs, deux zero-days exploités activement ont été identifiés : CVE-2026-85880 (ALPC, objet du présent article) et CVE-2026-81963 (Windows Link Following, également ajouté au KEV). Ce volume exceptionnel de correctifs reflète une surface d'attaque Windows croissante et la pression permanente exercée par les groupes de menace sophistiqués sur les composants système fondamentaux.

D'après l'avis de sécurité Microsoft (Security Update Guide, septembre 2026), les systèmes affectés incluent Windows 10 versions 1607, 1809, 21H2 et 22H2, Windows 11 toutes versions, ainsi que Windows Server 2012, 2012 R2, 2016, 2019 et 2022 — dans leurs éditions standard et Server Core. Aucune version encore sous support actif ou étendu n'est épargnée. La mise à jour cumulative de septembre 2026 corrige la validation des paramètres dans le gestionnaire de messages ALPC et initialise correctement les ressources impliquées.

Il est notable que malgré un score CVSS de 7.8 — qui pourrait sembler modéré face aux CVSS 10.0 du même Patch Tuesday — cette vulnérabilité doit être traitée en priorité absolue en raison de son exploitation confirmée in-the-wild. La corrélation entre exploitation active et périmètre d'exposition (l'intégralité du parc Windows mondial) en fait l'une des failles les plus dangereuses de ce Patch Tuesday.

Impact et exposition

L'exposition est massive et universelle : CVE-2026-85880 affecte l'ensemble du parc Windows sous support actif, soit des centaines de millions de machines dans le monde. Tout attaquant ayant préalablement obtenu un accès utilisateur standard, ou disposant d'un point d'appui dans un processus de faible privilège (session navigateur, application sandbox, service Windows), peut utiliser cette vulnérabilité pour compromettre intégralement le système hôte. L'accès SYSTEM obtenu est total : aucun composant, aucun fichier, aucun processus ne lui résiste.

Dans un scénario d'attaque réaliste, CVE-2026-85880 constitue le chaînon idéal entre un accès initial limité (phishing, exploit applicatif, accès physique) et le contrôle complet de la machine. Combinée à des techniques de mouvement latéral (Pass-the-Hash, Kerberoasting, WMI remote), une exploitation réussie permet de compromettre l'ensemble d'un domaine Active Directory depuis un poste utilisateur standard. C'est précisément le scénario observé par Volexity dans les campagnes documentées.

Les environnements les plus exposés sont ceux dont le cycle de mise à jour est long : infrastructures industrielles (OT/SCADA souvent non patchées), systèmes isolés, établissements de santé (hôpitaux, EHPAD), collectivités territoriales et PME sans gestion centralisée des correctifs. Dans ces contextes, le délai entre la publication d'un patch et son déploiement effectif dépasse fréquemment 30 jours — une fenêtre d'exploitation considérable lorsque des acteurs APT exploitent activement la faille.

L'exploitation ne génère aucune alerte visible pour l'utilisateur final et contourne les mécanismes de contrôle habituels (UAC, AppContainer). Un EDR non mis à jour ou mal configuré peut ne pas détecter l'escalade. La surveillance des artefacts post-exploitation (création de processus SYSTEM depuis un parent de faible intégrité, modification des clés de registre Run/RunOnce depuis un contexte élevé) est essentielle pour la détection.

Recommandations immédiates

• Appliquer immédiatement la mise à jour cumulative Windows de septembre 2026 (Patch Tuesday 2026-09) — Microsoft Security Update Guide, référence CVE-2026-85880
• Prioriser les contrôleurs de domaine, serveurs de fichiers, serveurs Exchange et systèmes exposés à Internet
• Déployer via WSUS, Microsoft Endpoint Configuration Manager (MECM) ou Intune pour les parcs gérés centralement
• Surveiller les journaux Windows : Event ID 4688 (création de processus), Event ID 4673 (privilège sensible utilisé depuis un contexte AppContainer)
• Activer et configurer Microsoft Defender Credential Guard pour limiter l'impact d'une élévation vers SYSTEM
• Indicateurs de compromission : processus svchost.exe ou lsass.exe lancés depuis un parent avec niveau d'intégrité Low ou AppContainer