Le correctif de Microsoft pour un jour 0 exploité par les espions russes a échoué. Une autre faille Windows est attaquée

Microsoft et l’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) ont averti que les attaquants exploitaient une faille Windows sans clic qui peut exposer des informations sensibles sur les systèmes vulnérables.

Même si nous ne savons pas qui attaque celui-ci, identifié comme CVE-2026-32202, nous suggérons de tout miser sur les sbires de Poutine. La faille provient d’un correctif incomplet pour une vulnérabilité antérieure découverte et exploitée par des espions russes un mois avant la publication d’un correctif par Redmond.

Le nouveau bug, CVE-2026-32202, est une faille de coercition d’authentification dans Windows Shell qui peut exposer des informations sensibles sur les systèmes vulnérables via l’usurpation d’identité du réseau. « Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait visualiser certaines informations sensibles », a prévenu Redmond lors de la divulgation du CVE le 14 avril.

Lundi, le géant de Windows a marqué le bug comme « exploitation détectée ». Le lendemain, CISA a ajouté CVE-2026-32202 à son catalogue de vulnérabilités exploitées connues et a fixé au 12 mai la date limite aux agences fédérales pour corriger la faille.

Le registre a contacté Microsoft pour connaître l’étendue de l’exploitation, qui est responsable des attaques et ce qu’ils font avec l’accès illicite. Nous mettrons à jour cette histoire si nous recevons une réponse.

Microsoft a crédité Maor Dahan, chercheur principal en sécurité d’Akamai, pour avoir trouvé et signalé CVE-2026-32202, et dans l’article de Dahan, il affirme qu’un correctif incomplet pour CVE-2026-21510 a créé la nouvelle vulnérabilité.

Redmond a tenté de mettre à jour le correctif CVE-2026-21510 en février. Il s’agissait de l’un des six zero-day activement exploités divulgués lors du Patch Tuesday de ce mois-là, et Akamai a détecté l’APT28 russe (également connu sous le nom de Fancy Bear) exploitant cette faille de sécurité en janvier.

Selon Akamai, citant l’équipe ukrainienne d’intervention en cas d’urgence informatique, APT28 a exploité CVE-2026-21510 lors d’attaques contre l’Ukraine et les pays de l’Union européenne.

Ces attaques ont commencé par un e-mail de phishing, prétendant provenir du centre hydrométéorologique d’Ukraine, qui contenait un fichier LNK utilisé pour exploiter une autre vulnérabilité, CVE-2026-21513. En enchaînant CVE-2026-21513 avec CVE-2026-21510, les espions russes ont contourné les fonctionnalités de sécurité de Microsoft, notamment Defender SmartScreen, et exécuté à distance du code malveillant sur les ordinateurs des victimes.

Microsoft a corrigé ces deux CVE lors du Patch Tuesday de février.

Cependant, « bien que le correctif de Microsoft ait réussi à empêcher l’exécution initiale de code à distance (RCE) et le contournement de SmartScreen, il a laissé derrière lui une vulnérabilité de coercition d’authentification sans clic », a écrit Dahan, ajoutant que lui et ses collègues chasseurs de bugs d’Akamai ont trouvé CVE-2026-32202 lors du test des correctifs de février.

« Lors du test du correctif, nous avons remarqué quelque chose d’intéressant : la machine victime était toujours en train de s’authentifier auprès du serveur de l’attaquant », a-t-il déclaré.

Comme l’explique Dahan, la faille de sécurité peut être exploitée pour envoyer le hachage Net-NTLMv2 (données d’authentification) de la victime à l’attaquant, permettant ainsi à l’intrus numérique de s’authentifier en tant qu’utilisateur, de voler des données sensibles et de fouiner sur le réseau de la victime.

« Cet écart entre la résolution du chemin et la vérification de la confiance a laissé un vecteur de vol d’informations d’identification sans clic via des fichiers LNK analysés automatiquement », a-t-il écrit. ®