CVE-2026-41089 : RCE non-authentifié CVSS 9.8 dans Netlogon — contrôleurs de domaine Windows activement exploités

Les faits

Le 29 mai 2026, le Centre for Cybersecurity Belgium (CCB) a actualisé son advisory du Patch Tuesday de mai 2026 pour confirmer l'exploitation active dans le wild de la CVE-2026-41089. La couverture de BleepingComputer, Help Net Security, CyberSecurityNews et SecurityWeek publiée les 1er et 2 juin 2026 confirme des campagnes d'exploitation automatisées déjà observées en conditions réelles.

La CVE-2026-41089 est un stack-based buffer overflow dans le service Windows Netlogon, composant central de l'infrastructure Active Directory responsable de l'authentification des comptes machines et de la sécurisation des canaux de communication au sein d'un domaine Windows. L'exploitabilité est maximale : aucune authentification préalable requise, aucun accès local nécessaire, aucune interaction utilisateur. Vecteur 0-click complet, idéal pour les campagnes automatisées et le mouvement latéral.

Concrètement, un attaquant positionné sur le même réseau qu'un contrôleur de domaine envoie des paquets MS-NRPC (Microsoft Netlogon Remote Protocol) spécialement forgés pour déclencher l'overflow. L'exécution de code arbitraire s'effectue dans le contexte du processus Netlogon, qui tourne avec les privilèges SYSTEM. La compromission complète d'un domaine Active Directory peut s'enchaîner en quelques minutes à partir de ce point de pivot.

Toutes les versions de Windows Server actuellement maintenues par Microsoft sont vulnérables : Windows Server 2016, 2019, 2022, et Windows Server 2025, la release la plus récente. La surface d'exposition est considérable, d'autant que de nombreuses organisations maintiennent des contrôleurs de domaine sur des versions plus anciennes pour des raisons de compatibilité applicative, parfois hors cycles de support étendu.

Ce n'est pas la première fois que le protocole MS-NRPC est au centre d'une crise majeure. En septembre 2020, la CVE-2020-1472 dite ZeroLogon avait permis de vider le mot de passe d'un DC en moins d'une seconde via une faiblesse cryptographique dans l'implémentation AES-CFB8. CVE-2026-41089 démontre six ans plus tard que ce protocole demeure structurellement fragile malgré plusieurs cycles de patches. Le service Netlogon implémente des mécanismes complexes d'authentification machine, de synchronisation des secrets entre DC et de gestion des canaux sécurisés — chaque couche d'implémentation est un vecteur potentiel.

Le score CVSS 3.1 de 9.8 reflète les caractéristiques les plus défavorables : vecteur réseau (AV:N), complexité d'attaque faible (AC:L), aucun privilège requis (PR:N), aucune interaction utilisateur (UI:N), impact total sur la confidentialité, l'intégrité et la disponibilité (C:H/I:H/A:H). Microsoft a classifié cette vulnérabilité comme « Exploitation détectée » dans son Security Update Guide. CISA l'a ajoutée au catalogue KEV avec instruction de remediation sous trois jours pour les agences fédérales américaines.

L'analyse du blast radius est alarmante. Une exploitation réussie sur un DC ouvre la porte à : la lecture du ntds.dit — la base de données AD contenant les hash de tous les comptes du domaine — l'extraction des hash NTLM de tous les utilisateurs y compris les Domain Admins, la récupération des clés Kerberos (notamment le hash du compte krbtgt), la création de Golden Tickets pour une persistance quasi-indétectable par les EDR standard, et la manipulation des GPO pour déployer des charges malveillantes sur l'intégralité du parc Windows. Une exploitation réussie équivaut à la perte totale du domaine.

Selon les analyses forensiques relayées par CyberSecurityNews et GBHackers le 2 juin 2026, les acteurs de menace procèdent systématiquement à une reconnaissance post-exploitation via BloodHound et SharpHound pour cartographier les chemins d'attaque Active Directory avant de pivoter vers les cibles à haute valeur. Le modus operandi est cohérent avec des opérateurs de ransomware en attaque ciblée ainsi qu'avec des acteurs étatiques en mode persistance longue durée cherchant à s'enfouir silencieusement dans le SI avant tout déclenchement offensif.

Impact et exposition

Toute organisation utilisant Active Directory avec des contrôleurs de domaine Windows Server non patchés est potentiellement exposée. Le risque est maximal lorsque les ports Netlogon et RPC — TCP 135, 445, et les ports RPC dynamiques 49152-65535 — sont accessibles depuis des segments réseau insuffisamment cloisonnés : zones de production partagées, réseaux partenaires, DMZ mal filtrées, ou environnements cloud-hybrides aux frontières de confiance floues.

Les déploiements hybrides utilisant Azure AD Connect installé sur des serveurs Windows Server locaux présentent un risque aggravé : un contrôleur de domaine compromis peut servir de pivot pour propager la compromission vers l'identité cloud Microsoft Entra ID, permettant à l'attaquant d'opérer simultanément sur les deux périmètres. Les organisations mi-chemin dans leur migration cloud maintenant un AD on-premises vulnérable se trouvent dans la configuration la plus dangereuse.

Recommandations

• Patcher en urgence : appliquer le Cumulative Update de mai 2026 sur tous les contrôleurs de domaine. Les DC exposés à des réseaux moins fiables (DMZ, partenaires, segments OT) doivent être traités en priorité absolue dans les 24 heures.
• Segmenter les flux Netlogon/RPC : restreindre l'accès TCP aux ports 135, 445 et aux plages RPC dynamiques (49152-65535) des DC aux seuls systèmes légitimes — autres DC, serveurs SCCM/WSUS, outils d'administration. Un DC ne devrait jamais être directement joignable depuis un poste utilisateur lambda sans filtrage applicatif.
• Surveiller les logs Netlogon : les tentatives d'exploitation génèrent des Event ID 5805 et 5807 dans les journaux Windows. Configurer des alertes SIEM sur les patterns anormaux de connexions MS-NRPC hors plages d'administration connues.
• Audit de compromission si exposition antérieure au 1er juin : si un DC était potentiellement accessible avant la confirmation d'exploitation active, initier une analyse de compromission : vérification de l'intégrité du ntds.dit, double rotation du compte krbtgt, revue des GPO et des comptes à privilèges créés ou modifiés récemment.