En bref

  • CVE-2026-69730 est une vulnérabilité RCE CVSS 9.8 dans Windows DNS Server : sans authentification, sans interaction utilisateur, exploitable depuis le réseau.
  • En environnement Active Directory standard, DNS tourne sur les contrôleurs de domaine — une exploitation réussie équivaut à compromettre l'intégralité du domaine AD.
  • Aucune exploitation confirmée dans le wild au 15 septembre 2026, mais le profil de risque exige un patching prioritaire dans les 24 à 48 heures.

Les faits

Le Patch Tuesday de septembre 2026 a corrigé 974 vulnérabilités, dont deux zero-days activement exploités. Parmi les correctifs publiés sans mention d'exploitation active, CVE-2026-69730 se distingue par un niveau de risque potentiel que les équipes de sécurité ne doivent pas sous-estimer sous prétexte qu'elle n'est pas encore exploitée dans le wild. Il s'agit d'une vulnérabilité use-after-free dans le service DNS Server de Windows, permettant à un attaquant distant non authentifié d'exécuter du code arbitraire sur le système cible, avec un score CVSS v3.1 de 9.8 — critique.

Le vecteur d'attaque est réseau, la complexité est faible, aucun privilège n'est requis, aucune interaction utilisateur n'est nécessaire. Ces quatre paramètres combinés placent CVE-2026-69730 dans la catégorie des vulnérabilités les plus dangereuses : un attaquant depuis Internet — ou depuis n'importe quel segment réseau pouvant atteindre le port UDP/TCP 53 du serveur cible — peut déclencher l'exploitation en envoyant un paquet DNS spécialement forgé. Pas de compte valide, pas d'accès préalable, pas d'action de la victime.

La vulnérabilité est une condition use-after-free dans le traitement de certains types de requêtes DNS. Sans entrer dans les détails techniques que Microsoft n'a pas encore entièrement divulgués, le mécanisme est similaire à SigRed (CVE-2020-1350), la faille DNS Server qui avait nécessité un patch d'urgence en juillet 2020 et que la CISA avait qualifiée de "wormable" — capable de se propager automatiquement de machine en machine sans intervention humaine. Les analystes de CrowdStrike et d'Automox ont qualifié CVE-2026-69730 de "successeur spirituel de SigRed" en raison des similitudes techniques et du profil de risque identique. Si un PoC est publié dans les prochains jours, le risque d'exploitation massive et automatisée est réel.

L'aspect le plus critique de CVE-2026-69730 n'est pas la faille elle-même, mais son contexte de déploiement habituel. Dans la grande majorité des environnements Active Directory — y compris les PME, les collectivités territoriales françaises, les hôpitaux et les PMI industrielles — le service DNS Windows n'est pas hébergé sur un serveur dédié : il tourne directement sur les contrôleurs de domaine (DC). Cette architecture, recommandée par Microsoft pour les domaines AD intégrés, est pratique et performante, mais elle signifie qu'exploiter CVE-2026-69730 sur ce type de déploiement revient à obtenir une exécution de code sur un contrôleur de domaine — autrement dit, la compromission complète de l'ensemble du domaine Active Directory.

Un attaquant qui exécute du code sur un DC peut dumper la base NTDS.dit contenant les hachages de tous les mots de passe du domaine, créer des comptes administrateurs fantômes indétectables, modifier les GPO pour déployer des charges utiles sur l'ensemble du parc, implanter des backdoors persistantes dans les mécanismes d'authentification Kerberos (Golden Ticket), ou encore effacer toutes les sauvegardes VSS accessibles depuis le domaine. En d'autres termes, une seule requête DNS malveillante non bloquée peut suffire à donner le contrôle total d'une infrastructure d'entreprise.

Les systèmes affectés couvrent un spectre large : Windows Server 2012 R2, 2016, 2019, 2022 et 2025 (y compris les variantes Server Core), ainsi que Windows 10 versions 1607 (LTSC 2016) et 1809 (LTSC 2019). Toutes les versions Windows Server actuellement en support étendu ou en support mainstream sont concernées. Action1 confirme dans son analyse que même les installations Windows Server Core — réputées avoir une surface d'attaque réduite — sont vulnérables si le rôle DNS Server y est installé.

Au 15 septembre 2026, aucune exploitation confirmée dans le wild n'a été signalée par Microsoft, CISA, ou les principaux acteurs de la threat intelligence. Toutefois, l'historique de SigRed est instructif : en 2020, la faille avait été exploitée dans les deux semaines suivant la publication du bulletin de sécurité détaillé, à mesure que les chercheurs avaient reconstitué l'exploit depuis les informations publiques et les différences binaires entre la DLL patchée et la version antérieure. Le délai entre la publication d'un patch et l'apparition d'un PoC fonctionnel s'est réduit de manière constante ces dernières années : pour des failles CVSS 9.x sans interaction requise, il se compte souvent en jours, parfois en heures.

Penligent AI et Action1 confirment que le bulletin de sécurité Microsoft pour CVE-2026-69730 ne mentionne ni workaround ni mesure d'atténuation alternatives au patch. Microsoft n'a pas publié de règle Snort ou Sigma officielle permettant de détecter des tentatives d'exploitation avant l'application du correctif. La seule protection effective documentée à ce jour est l'application du correctif KB5043076 pour Windows Server 2022, KB5043055 pour Windows Server 2019, ou l'équivalent pour les autres versions supportées.

Impact et exposition

Tous les serveurs Windows exécutant le rôle DNS Server sont exposés. Le risque est maximal pour les contrôleurs de domaine Active Directory hébergeant également DNS (configuration par défaut dans la majorité des déploiements AD). Les serveurs DNS exposés directement à Internet (résolveurs publics sous Windows) sont en danger immédiat d'exploitation externe. Les DNS internes restent exposés depuis tout segment réseau où un attaquant a obtenu un pied initial — donc depuis tout poste utilisateur compromis, depuis un réseau invité mal segmenté, ou depuis tout autre système du LAN.

Recommandations

  • Appliquer en priorité les correctifs du Patch Tuesday de septembre 2026 sur tous les Windows Servers hébergeant le rôle DNS, en commençant par les contrôleurs de domaine Active Directory.
  • Si le patching immédiat est impossible, restreindre l'accès au port 53 (UDP et TCP) aux seules sources légitimes via les règles pare-feu réseau et Windows Defender Firewall — bloquer toute connexion DNS entrante non nécessaire depuis Internet.
  • Inventorier tous les serveurs Windows exécutant le service DNS Server dans votre parc avec la commande PowerShell : Get-WindowsFeature DNS sur chaque serveur, ou via un scan nmap ciblé sur le port 53.
  • Activer la journalisation DNS étendue (debug logging via dnsdiag) pour détecter des requêtes malformées pouvant indiquer des tentatives de reconnaissance ou d'exploitation.
  • Surveiller les publications de PoC sur GitHub et les plateformes de recherche en sécurité dans les 72 prochaines heures.

Alerte critique

Si vos contrôleurs de domaine Active Directory hébergent également le rôle DNS Server — configuration standard dans la quasi-totalité des environnements AD — CVE-2026-69730 met l'intégralité de votre domaine à portée d'un attaquant non authentifié. Appliquer le patch dans les 24 heures ou restreindre immédiatement l'accès au port 53.

Comment vérifier si mon DNS Server Windows est accessible depuis Internet ?

Utilisez un scanner externe pour vérifier si le port 53 UDP/TCP de vos serveurs répond depuis l'extérieur. La commande nmap -sU -sT -p 53 [IP_publique] depuis une machine externe donne la réponse en quelques secondes. Si le port est ouvert depuis Internet, c'est une urgence de patching ou de filtrage immédiate. En interne, vérifiez avec Get-WindowsFeature DNS en PowerShell sur chaque serveur pour identifier lesquels hébergent le rôle DNS. La commande netstat -an | findstr ":53" confirme si le service écoute activement.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit