CVE-2026-69524 CVE-2026-69546 AD RCE : correctifs et contrôles

Résumé : CVE-2026-69524 CVE-2026-69546 — RCE Active Directory

CVE-2026-69524 et CVE-2026-69546 sont deux vulnérabilités distinctes d’exécution de code à distance dans Active Directory Domain Services (AD DS), publiées le 8 septembre 2026. Toutes deux ont un score de base CVSS 3.1 de 8.1, ne nécessitent ni privilèges ni interaction utilisateur selon leurs vecteurs CVSS et impliquent une faiblesse de type use-after-free. Microsoft indique qu’une exploitation réussie dépend de la réussite d’une condition de concurrence. Cette difficulté supplémentaire doit éclairer la planification des correctifs, sans retirer aucune des deux vulnérabilités de la file de remédiation des contrôleurs de domaine. Il s’agit de mises à jour de septembre examinées en octobre, et non de nouvelles failles annoncées en octobre. Le CVRF de septembre de Microsoft est la source des faits relatifs aux CVE ci-dessous.

Pour les équipes de défense, les priorités immédiates sont d’associer chaque contrôleur de domaine à la mise à jour applicable, de vérifier son installation et la fin du redémarrage, et de préserver la télémétrie utile. Le CVRF public ne fournit ni signature d’événement ni indicateur de compromission propre à ces CVE. Les alertes génériques sur les modifications de l’annuaire ou l’état des services doivent appuyer l’investigation sans être présentées comme une preuve d’exploitation de l’une ou l’autre faille.

CVE-2026-69524 et CVE-2026-69546 côte à côte

Les valeurs suivantes proviennent du CVRF de septembre récupéré le 3 octobre 2026. Microsoft classe les deux vulnérabilités au niveau Important. Les chaînes relatives à l’exploitation sont reproduites à l’identique ; leurs évaluations différentes de la probabilité d’exploitation doivent rester distinctes.

Aucune des deux CVE ne figurait dans le catalogue JSON Known Exploited Vulnerabilities de la CISA consulté le 3 octobre 2026 ; la version récupérée du catalogue était 2026.10.02. L’absence à cette date et les champs Exploited:No de Microsoft sont deux observations distinctes. Aucune ne garantit qu’une exploitation ne peut pas se produire ou que toute activité a été observée.

Fonctionnement : use-after-free et condition de concurrence

Un use-after-free survient lorsqu’un logiciel accède à une zone mémoire après sa libération. Ses conséquences dépendent de l’implémentation ; les plantages et l’exécution non autorisée font partie des possibilités décrites dans la définition CWE-416 du MITRE. Cela explique la classe de faiblesse, sans établir la fonction vulnérable ni le format précis des paquets pour l’une ou l’autre CVE.

La FAQ de Microsoft pour CVE-2026-69524 décrit un attaquant non authentifié envoyant un paquet spécialement conçu à un service réseau affecté. Celle de CVE-2026-69546 décrit un attaquant présent sur le réseau invoquant des points de terminaison arbitraires. Les deux FAQ indiquent que l’exploitation exige de réussir une condition de concurrence. Le CVRF n’identifie pas les points de terminaison affectés, une séquence d’exploitation fiable ou un défaut de code sous-jacent commun. Le regroupement de ces vulnérabilités reflète leur composant commun, leur classe de faiblesse et leur correspondance de mises à jour.

Pourquoi AC:H exige toujours une action

AC:H désigne un obstacle supplémentaire à l’exploitation. Il ne transforme pas PR:N en exigence d’authentification ni UI:N en obligation pour quelqu’un de cliquer sur un lien. Notre recommandation opérationnelle est de donner la priorité aux contrôleurs de domaine affectés parce qu’ils assurent l’infrastructure d’identité, tout en conservant les évaluations réelles de probabilité de Microsoft. Évitez d’inventer un taux de réussite, de qualifier ces failles de propagables par un ver ou de supposer qu’un accès réseau implique une exposition publique à Internet.

L’analyse d’août des RCE sur les contrôleurs de domaine explique pourquoi les équipes inventorient les rôles liés aux DC et vérifient leur conformité aux correctifs. Elle couvre une autre publication et d’autres CVE ; ses descriptions d’attaques ne doivent pas être transposées à cette paire.

Vérifier la bonne mise à jour sur chaque contrôleur de domaine

Le CVRF de septembre associe les deux CVE aux remédiations Windows Server suivantes, y compris pour les produits Server Core correspondants. Ce tableau consigne la correspondance des mises à jour initiales ; il ne demande pas d’installer un ancien package par-dessus une mise à jour cumulative applicable plus récente.

Faites correspondre le produit et la variante d’installation avant de choisir une mise à jour. La présence dans ce tableau CVRF ne dit rien sur les droits au support d’un serveur. Pour Server 2025, l’article de support KB5122871 confirme indépendamment le build du système 26100.33438 et décrit les canaux d’installation pris en charge. Consultez la documentation de publication applicable pour les prérequis, les problèmes connus et les mises à jour ultérieures.

La documentation Get-HotFix de Microsoft fournit exactement cette commande d’inventaire local :

Get-HotFix

Ses paramètres documentés -Id et -ComputerName peuvent être appliqués à la correspondance Server 2025 comme suit. DC01 est un nom d’exemple ; utilisez le nom réel du contrôleur. Ces commandes sont des exemples fondés sur la documentation, et non des résultats obtenus dans un environnement client.

Get-HotFix -Id KB5122871 -ComputerName DC01

Conservez les preuves d’installation retournées avec la version exacte du système, le build en cours d’exécution et l’état du redémarrage issus de vos outils de gestion. Get-HotFix utilise la classe Win32_QuickFixEngineering, dont la couverture des mises à jour est limitée. Une entrée manquante doit être examinée ; elle n’établit pas à elle seule une vulnérabilité, notamment lorsqu’une mise à jour ultérieure remplace la KB initiale. Confirmez l’applicabilité et le remplacement avant de clôturer le dossier.

Détection : recueillir le contexte, puis investiguer

Distinguez l’exposition due à un correctif manquant de la suspicion de compromission. La première exige un inventaire fiable des mises à jour. La seconde exige de corréler les activités et de mener une investigation. Aucun des identifiants d’événement ci-dessous n’identifie à lui seul l’exploitation de CVE-2026-69524 ou de CVE-2026-69546.

Microsoft documente la journalisation de diagnostic AD DS, notamment la collecte par défaut des événements critiques et d’erreur. Augmentez la verbosité des diagnostics uniquement pour une investigation limitée, puis rétablissez le niveau normal ; un niveau de détail accru peut affecter les performances. Transférez les journaux Security et Directory Service vers un système central et vérifiez l’état de l’ingestion avant de vous fier à leur absence.

Les références primaires sont 5136 : objet d’annuaire modifié et 1102 : journal d’audit effacé. Pour 5136, préservez SubjectUserName, ObjectDN, AttributeLDAPDisplayName, AttributeValue, OperationType et OpCorrelationID. Un changement produit généralement des événements distincts de suppression et d’ajout de valeur ; corrélez-les à l’aide de OpCorrelationID et du contexte de l’objet et de l’attribut pour comparer les anciennes et nouvelles valeurs. Le guide de supervision AD explique pourquoi la stratégie d’audit, la collecte, la correspondance des champs et la corrélation doivent fonctionner ensemble pour que les détections fondées sur les événements offrent une couverture utile.

Pour le triage local, cet exemple adapte la syntaxe Get-WinEvent et le filtrage par table de hachage de Microsoft. Exécutez-le sur le contrôleur avec les droits appropriés de lecture des journaux :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=5136,1102} -MaxEvents 100
Get-WinEvent -LogName 'Directory Service' -MaxEvents 100

La limite borne les enregistrements affichés ; ce n’est ni un seuil d’alerte ni une chronologie d’incident complète. Examinez la période pertinente dans votre SIEM, corrélez les changements inattendus avec la télémétrie des hôtes et du réseau, et excluez la maintenance documentée. Une requête sans résultat ne peut pas certifier qu’un DC est corrigé ou non compromis.

Remédiation : appliquer les correctifs, redémarrer et préserver les preuves

1. Créer un dossier de mise à jour pour chaque contrôleur. Incluez le produit Windows Server exact, la variante d’installation, la KB applicable ou la mise à jour qui la remplace, le responsable et les preuves d’achèvement. Traitez explicitement les systèmes injoignables ou sans remontée d’information.
2. Déployer la mise à jour applicable prise en charge. Les deux CVE nécessitent une action du client. Utilisez le canal de mise à jour approuvé et les consignes de la publication sur les prérequis et les problèmes connus. Pour Server 2025, l’article de support recommande la dernière mise à jour Windows applicable et consigne la résolution ultérieure d’un problème RDS affectant la publication de septembre.
3. Terminer le redémarrage requis et valider l’état des services. Les deux entrées CVRF indiquent qu’un redémarrage est requis pour les mises à jour Server listées. Confirmez l’authentification et la réplication au moyen de vos contrôles opérationnels habituels, et comparez les nouvelles erreurs du service d’annuaire à l’état de référence précédant la maintenance.
4. Revérifier les preuves d’installation. Utilisez la commande d’inventaire documentée et les dossiers de gestion, confirmez le build en cours d’exécution et le remplacement des mises à jour, et conservez le résultat pour chaque contrôleur. Un package déployé avec un redémarrage en attente ne constitue pas un dossier de changement achevé.
5. Investiguer séparément toute suspicion crédible de compromission. Préservez les journaux collectés centralement et les preuves des hôtes, coordonnez le confinement avec l’équipe de réponse aux incidents d’identité et évaluez les modifications non autorisées de l’annuaire. L’installation du correctif seule n’annule pas les changements qu’un attaquant aurait déjà effectués.

Comment EtcSec détecte ce problème

Utilisez les résultats des audits de configuration EtcSec avec des dossiers indépendants de conformité aux correctifs et une investigation SIEM. Cette analyse ne valide pas de contrôle EtcSec pour l’une ou l’autre CVE, sa mise à jour installée ou son exploitation. Un constat de configuration seul ne peut pas établir si un contrôleur a reçu la mise à jour AD DS de septembre applicable.