CVE-2026-96934 : Windows DHCP Server RCE sans auth CVSS 9.8

Les faits

Le 13 octobre 2026, dans le cadre du Patch Tuesday d'octobre — le plus volumineux de l'histoire de Microsoft avec 1 407 CVE corrigées —, Microsoft a divulgué et corrigé CVE-2026-96934, une vulnérabilité critique de type use-after-free (CWE-416) affectant le service Windows DHCP Server. La faille a reçu un score CVSS 3.1 de 9.8, avec le vecteur CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, signifiant qu'elle est exploitable à distance sans privilèges préalables et sans interaction utilisateur.

La nature de la faille est un use-after-free dans le traitement des paquets DHCP reçus par le service Windows DHCP Server. Dans un use-after-free, un pointeur vers une zone mémoire précédemment libérée est réutilisé lors du traitement d'une requête réseau. En contrôlant le contenu de cette zone mémoire au moment de la réutilisation, un attaquant peut rediriger l'exécution vers un shellcode arbitraire. La condition d'exploitation est remarquablement simple : envoyer un paquet DHCP spécialement forgé vers le port UDP 67 du serveur cible. Le protocole DHCP ne disposant d'aucun mécanisme d'authentification, toute machine sur le réseau peut déclencher l'exploitation.

Le service Windows DHCP Server est un composant très répandu dans les environnements Windows Server déployés en entreprise. Il est responsable de l'attribution dynamique d'adresses IP aux hôtes du réseau et écoute sur le port UDP 67 sans authentification préalable. Dans un réseau d'entreprise typique, plusieurs centaines ou milliers d'équipements ont un accès réseau direct au serveur DHCP, rendant la surface d'attaque considérable.

En termes de root cause, les premières analyses publiées par CrowdStrike et Cisco Talos convergent vers une gestion défaillante de la durée de vie des objets de bail DHCP (lease objects) dans le code du service. Lorsqu'un certain type de message DHCP déclenche une libération prématurée de la structure d'objet tout en maintenant une référence active vers celle-ci, la réutilisation ultérieure du pointeur permet de corrompre la mémoire du processus. Le service DHCP s'exécutant sous le compte SYSTEM sur Windows Server, l'exploitation réussie aboutit directement à une exécution de code avec les plus hauts privilèges locaux.

Selon le Microsoft Security Response Center (MSRC), aucun PoC (proof-of-concept) public n'était disponible au moment de la divulgation le 13 octobre 2026, et l'exploitabilité est évaluée comme "Exploitation Less Likely" — à la différence de CVE-2026-96951 (Windows Shell MotW bypass) qui était activement exploitée lors du même Patch Tuesday. Toutefois, cette évaluation ne doit pas induire une fausse impression de sécurité : les failles de type use-after-free dans des services réseau sans authentification ont historiquement conduit à des exploits publics dans les semaines suivant la divulgation, comme le démontrent les précédents MS17-010 (EternalBlue) ou CVE-2020-0796 (SMBGhost).

Les versions affectées couvrent un spectre très large de Windows Server : Windows Server 2012, Windows Server 2012 R2 (avec variantes Server Core), Windows Server 2016, Windows Server 2019, Windows Server 2022, et Windows Server 2025. Côté postes clients, Windows 10 versions 1607 et 1809 sont également concernés si le rôle DHCP Server y est installé — configuration marginale mais possible dans des environnements de petites structures ou de laboratoire. Les versions Windows 11 ne sont pas répertoriées dans l'advisory comme affectées, selon les bulletins Microsoft publiés le 13 octobre 2026.

Dans le contexte du Patch Tuesday d'octobre 2026, CVE-2026-96934 s'inscrit parmi une liste record de vulnérabilités corrigées, dont 78 classées Critical. Parmi les autres RCE critiques notables figurent CVE-2026-70147 et CVE-2026-70153 (heap overflow dans le pilote PostScript, CVSS 9.8) ainsi que plusieurs failles Exchange et Hyper-V. Microsoft a indiqué que le correctif est disponible via Windows Update, WSUS, Microsoft Update Catalog et Microsoft Endpoint Configuration Manager.

Du point de vue de la stratégie de remédiation, deux approches complémentaires sont recommandées. Premièrement, appliquer le patch en priorité sur tous les serveurs exposant le service DHCP Server, en commençant par ceux accessibles depuis des segments réseau non maîtrisés (DMZ, accès invité, réseaux OT). Deuxièmement, si le service DHCP Server peut être temporairement arrêté sur certains systèmes non critiques, cette mesure réduit mécaniquement la surface d'attaque pendant la fenêtre de déploiement des correctifs. Selon les analyses de Tenable et Rapid7, le risque d'exploitation active augmente généralement 2 à 3 semaines après la publication d'un patch, délai nécessaire pour que les acteurs malveillants effectuent le diff binaire du correctif et développent un exploit fonctionnel.

Impact et exposition

Les organisations les plus exposées sont celles dont le serveur DHCP est accessible depuis des segments réseau peu contrôlés : réseaux Wi-Fi d'entreprise, zones invités, segments IoT ou OT, ou environnements où des équipements non maîtrisés peuvent envoyer des paquets UDP. Dans un schéma d'attaque interne, un attaquant ayant déjà compromis un poste utilisateur peut exploiter la faille pour pivoter vers le serveur DHCP et obtenir un accès SYSTEM, ouvrant la voie à une élévation de privilèges vers le domaine Active Directory.

L'exploitation ne nécessite aucune authentification au domaine ni aucun accès préalable au serveur. Un simple accès réseau UDP port 67 suffit. Dans les environnements où le serveur DHCP est également contrôleur de domaine — configuration fréquente dans les PME —, une exploitation réussie pourrait compromettre l'intégralité de l'infrastructure Active Directory en un seul mouvement latéral.

À ce jour, Microsoft n'a signalé aucune exploitation active de CVE-2026-96934. Cependant, la combinaison de facteurs — CVSS 9.8, vecteur réseau sans authentification, service Windows Server omniprésent — en fait une cible de choix pour les acteurs ransomware et APT qui cherchent des vecteurs de propagation latérale rapide dans les réseaux d'entreprise.

Recommandations immédiates

• Appliquer le correctif Microsoft via Windows Update ou WSUS — Microsoft Security Advisory CVE-2026-96934, Patch Tuesday octobre 2026
• Vérifier via WSUS ou Intune que le patch est bien déployé sur 100% des serveurs exécutant le rôle DHCP Server
• Segmenter le trafic UDP/67 : autoriser uniquement les sources légitimes via des règles de pare-feu ou ACL réseau
• Si le patch ne peut être appliqué immédiatement, envisager d'arrêter temporairement le service DHCP Server sur les systèmes non critiques
• Surveiller les logs du service DHCP et les événements Windows pour détecter des comportements anormaux