CVE-2026-68820 : zero-day Windows AFD.sys exploité par Lazarus (Operation Dream Job)

Les faits

Le 12 août 2026, Microsoft a publié son Patch Tuesday mensuel couvrant 421 vulnérabilités. Parmi elles, une se distingue radicalement : la CVE-2026-68820, une faille de type use-after-free dans l'Ancillary Function Driver for WinSock (AFD.sys), le driver kernel qui constitue l'épine dorsale de l'API Windows Sockets. Cette vulnérabilité était exploitée activement en zero-day au moment de la divulgation publique.

Selon les chercheurs de Check Point Research, l'acteur derrière cette campagne n'est autre que Lazarus Group, le groupe APT nord-coréen lié à la Direction Générale de la Reconnaissance (RGB) de Pyongyang. L'exploitation de CVE-2026-68820 s'inscrit dans le cadre de l'Opération Dream Job, une campagne active depuis 2019 qui cible des ingénieurs, développeurs et chercheurs en sécurité via de fausses offres d'emploi sur LinkedIn et d'autres plateformes professionnelles.

La faille présente un score CVSS de 7.0 — chiffre trompeur. Une exploitation réussie élève les privilèges de l'attaquant jusqu'au niveau SYSTEM, le plus élevé possible sous Windows. Si un adversaire dispose déjà d'un accès initial via phishing ou implant, CVE-2026-68820 lui permet de prendre le contrôle total de la machine et de désactiver toute protection en place, y compris les solutions EDR.

Techniquement, la vulnérabilité repose sur une condition de course (race condition) dans AFD.sys. Lorsqu'un attaquant déclenche cette condition via une application spécialement forgée, il provoque une libération mémoire prématurée puis accède à cette zone libérée — définition classique du use-after-free. Le résultat est un accès en écriture au niveau kernel, permettant de modifier des structures mémoire critiques. Lazarus a exploité cette technique pour déployer un rootkit en mode kernel, offrant une persistance et une furtivité remarquables sur les systèmes compromis.

L'Opération Dream Job fonctionne selon un schéma bien rodé : les victimes — principalement des ingénieurs des secteurs défense, aérospatiale, cryptomonnaies et sécurité — reçoivent des messages de recruteurs fictifs sur LinkedIn, avec des offres d'emploi alléchantes chez des entreprises réputées (Boeing, Palantir, Coinbase). Après quelques échanges, elles reçoivent un "test technique" contenant un implant malveillant. CVE-2026-68820 est ensuite utilisée dans la phase d'escalade de privilèges post-compromission.

Selon SecurityWeek et Help Net Security, le Patch Tuesday d'août 2026 couvre 421 CVE au total, dont 62 critiques, 174 élévations de privilèges (42% des patches) et 109 vulnérabilités RCE. Microsoft a également corrigé CVE-2026-62815 (CVSS 9.8), une RCE critique dans Microsoft QUIC exploitable sans interaction utilisateur. Le contexte général est celui d'une surface d'attaque Windows en expansion constante.

La CISA a intégré CVE-2026-68820 à son catalogue Known Exploited Vulnerabilities (KEV) dès la publication du Patch Tuesday, imposant aux agences fédérales américaines un délai de correction de 72 heures. En France, le CERT-FR a relayé l'alerte dans sa publication hebdomadaire du 13 août 2026.

Le choix d'AFD.sys comme vecteur d'exploitation n'est pas anodin : ce driver est présent sur tous les systèmes Windows sans exception, des postes utilisateurs aux contrôleurs de domaine. Il ne peut pas être désactivé sans casser les communications réseau. Lazarus a sélectionné une cible universelle, garantissant une portée maximale pour son rootkit. Des variants similaires ont déjà été observés dans des campagnes nord-coréennes ciblant des développeurs crypto en Europe.

Impact et exposition

Tous les systèmes Windows sont potentiellement exposés. L'exploitation nécessite un accès local authentifié — mais dans un scénario réaliste, l'adversaire dispose déjà d'un point d'entrée initial via phishing. CVE-2026-68820 transforme alors un accès utilisateur standard en contrôle total SYSTEM. Les secteurs les plus exposés : défense, aérospatiale, fintech, cryptomonnaies et sécurité. Toute organisation dont des ingénieurs ou développeurs pourraient être ciblés via LinkedIn doit considérer ce vecteur comme actif.

Recommandations

• Déployer immédiatement les mises à jour Microsoft du 12 août 2026 sur l'ensemble du parc Windows — postes, serveurs, contrôleurs de domaine
• Sensibiliser les équipes techniques aux techniques de l'Opération Dream Job : méfiance vis-à-vis des offres d'emploi non sollicitées sur LinkedIn, ne jamais exécuter de code reçu dans ce contexte sans sandbox préalable
• Renforcer la surveillance EDR kernel : surveiller les chargements anormaux de drivers, les accès inhabituels à AFD.sys, et les tentatives d'élévation de privilèges
• Effectuer un scan hors-ligne sur les systèmes non patchés avant le 12 août pour détecter toute trace de rootkit