CVE-2026-97814 : Windows Text Shaping RCE CVSS 9.8 sans auth

Les faits

CVE-2026-97814 est une vulnérabilité critique de type heap-based buffer overflow (débordement de tas, CWE-122) affectant le composant Windows Text Shaping de Microsoft Windows. Publiée le 13 octobre 2026 dans le cadre du Patch Tuesday d'octobre 2026, elle reçoit un score CVSS 3.1 de 9.8 (Critical), le vecteur complet étant AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. La combinaison d'un vecteur réseau, d'une complexité d'attaque faible, d'une absence totale de prérequis en termes d'authentification ou d'interaction utilisateur en fait une cible de premier ordre pour les acteurs malveillants.

Le composant Windows Text Shaping est responsable du rendu et de la mise en forme du texte dans l'interface graphique de Windows. Il traite les polices, les scripts Unicode complexes (arabe, devanagari, tibétain, etc.) et les ligatures typographiques pour les applications qui l'appellent via les API Windows. La vulnérabilité est provoquée par un traitement insuffisant des limites de buffer lors du parsing d'une entrée réseau spécialement forgée. Un attaquant peut envoyer un paquet réseau malformé à un service exposé qui fait appel au composant Text Shaping, ce qui déclenche le débordement de tas et permet l'exécution de code arbitraire dans le contexte du processus affecté.

La surface d'attaque est particulièrement large : CVE-2026-97814 affecte 22 produits Windows distincts. La liste des systèmes vulnérables comprend Windows 10 version 1607 (LTSB), Windows 10 version 1809, Windows 10 version 21H2, Windows 10 version 22H2, Windows 11 version 22H2, Windows 11 version 23H2, Windows 11 version 24H2, ainsi que Windows Server 2019, 2022 et 2025 dans leurs variantes Standard, Datacenter et Core. Cette couverture massive de versions signifie que pratiquement tout parc Windows qui n'a pas été mis à jour depuis le 13 octobre 2026 reste potentiellement exposé.

L'analyse technique publiée par CrowdStrike et Cisco Talos dans leurs bilans du Patch Tuesday d'octobre 2026 souligne que le vecteur d'attaque réseau sans authentification est particulièrement alarmant dans les environnements où des services Windows sont exposés directement sur Internet ou sur des réseaux non segmentés. La condition AV:N (Attack Vector: Network) implique que l'attaquant n'a pas besoin d'un accès physique ou local à la machine cible — une connexion réseau suffit pour déclencher l'exploitation.

Microsoft précise dans son Security Update Guide que la maturité du code d'exploitation est classée « unproven » (non prouvée), ce qui signifie qu'aucun proof-of-concept (PoC) public n'est connu à la date de publication. La vulnérabilité n'a pas non plus été divulguée publiquement avant le patch et n'est pas considérée comme activement exploitée dans la nature au moment de la publication. Cependant, le score CVSS 9.8 et la facilité d'exploitation théorique placent cette CVE dans la catégorie des vulnérabilités à patcher en priorité absolue, avant qu'un PoC public ne vienne réduire la fenêtre de protection.

Le contexte du Patch Tuesday d'octobre 2026 est exceptionnel : Microsoft a corrigé un nombre record de vulnérabilités, avec plus de 1 400 CVEs adressées en une seule mise à jour. Parmi celles-ci, CVE-2026-97814 se distingue par son score CVSS maximal parmi les vulnérabilités sans exploitation active confirmée. Les chercheurs de Vulners et de Strix AI ont catalogué la vulnérabilité comme affectant spécifiquement les builds de Windows 10 version 1607 utilisant le moteur DirectWrite pour le rendu de texte complexe, mais l'avis officiel de Microsoft élargit le périmètre à l'ensemble des versions Windows supportées.

La nature du composant affecté (Text Shaping) mérite une attention particulière dans les environnements où des applications métier traitent des données textuelles provenant de sources externes non fiables — systèmes de messagerie, parseurs de documents, services de traitement de formulaires web. Tout pipeline applicatif qui injecte des données textuelles réseau dans un contexte d'affichage Windows utilisant les API GDI+ ou DirectWrite peut constituer un vecteur d'exploitation indirect, même sur des systèmes non directement exposés à Internet.

Les équipes de sécurité doivent noter que l'exploitation de vulnerabilités de type heap buffer overflow dans des composants graphiques Windows a un historique établi : des vulnérabilités similaires dans GDI et DirectWrite ont été exploitées dans le passé pour des attaques de type drive-by download et des campagnes de spear-phishing documentées par plusieurs CERT européens. Le potentiel d'exploitation de CVE-2026-97814 via des vecteurs similaires ne peut être exclu.

Impact et exposition

L'exposition à CVE-2026-97814 concerne tout système Windows 10, Windows 11 ou Windows Server non patché depuis le 13 octobre 2026. La condition sine qua non est l'accessibilité réseau d'un service Windows qui utilise le composant Text Shaping — condition remplie par de nombreux services système par défaut. Les environnements les plus exposés sont les serveurs Windows exposés sur Internet avec des services RDP, des applications web IIS, ou des services de partage de fichiers accessibles depuis des réseaux non fiables.

L'absence d'exploitation in-the-wild confirmée au moment de la publication ne constitue pas une garantie de sécurité durable. La publication du patch Microsoft fournit aux chercheurs en sécurité les informations nécessaires pour développer un PoC par ingénierie inverse du patch (patch diffing). L'expérience historique montre que des PoC publics pour des vulnérabilités CVSS 9.8 sans exploitation préalable apparaissent généralement dans les 7 à 30 jours suivant la publication du patch, créant une fenêtre de risque élevé pour les organisations qui retardent le déploiement des correctifs.

Les environnements industriels (OT/ICS) utilisant des versions Windows en fin de support (Windows 10 LTSC 2019, par exemple) sont particulièrement vulnérables, car les cycles de patch y sont souvent plus longs pour des raisons de validation opérationnelle. Ces environnements doivent envisager des mesures de mitigation réseau en attendant l'application des correctifs.

Recommandations immédiates

• Déployer les mises à jour de sécurité Microsoft du 13 octobre 2026 (Patch Tuesday) via Windows Update, WSUS ou SCCM/Intune — Microsoft Security Update Guide KB associés à CVE-2026-97814
• Prioriser les serveurs Windows exposés sur Internet ou sur des réseaux non segmentés
• Si le patch ne peut pas être déployé immédiatement : segmenter les systèmes Windows vulnérables et restreindre l'accès réseau aux seuls flux nécessaires via ACL ou NSG
• Surveiller les indicateurs d'exploitation : erreurs inhabituelles dans les journaux d'événements Windows liées aux composants graphiques (Source: Windows Error Reporting, EventID 1000 avec faulting module usp10.dll ou dwrite.dll)
• Inventorier les applications métier qui parsent du texte de sources externes via les API Windows Text Shaping et les isoler si non patchées