Patch Tuesday août 2026 : trio RCE contrôleur de domaine AD

Patch Tuesday août 2026 Active Directory contrôleur de domaine RCE : le cluster à connaître

C'est le Patch Tuesday août 2026 Active Directory contrôleur de domaine RCE cluster qui devrait arrêter net les administrateurs Active Directory en pleine lecture : Microsoft a publié son Patch Tuesday d'août 2026 le 11 août 2026, corrigeant environ 400 CVE sur l'ensemble de sa gamme de produits (BleepingComputer a comptabilisé 400 failles et trois zero-days dans cette livraison), dont trois vulnérabilités distinctes d'exécution de code à distance, une pour chacun de Windows DNS Server, Active Directory Certificate Services (AD CS) et Active Directory Domain Services (AD DS) — les trois rôles qui, ensemble, définissent ce que fait un contrôleur de domaine. Les trois ont été publiées par Microsoft le 11 août 2026.

Cet article s'appuie strictement sur ce qu'ont publié les avis officiels de Microsoft et les médias de sécurité cités, au moment de la rédaction. Lorsque le détail public est réellement mince — et c'est le cas pour l'une de ces trois failles — cette lacune est signalée explicitement plutôt que comblée.

Pour un historique de correctifs critiques liés aux contrôleurs de domaine, voir Zerologon (CVE-2020-1472) : pourquoi l'application reste absente sur tant de DC et Certighost (CVE-2026-54121) AD CS : des utilisateurs à faibles privilèges peuvent usurper un contrôleur de domaine — la faille AD CS de juillet 2026 que la RCE AD CS de ce mois-ci rejoint sur la liste « corrigez la CA maintenant ».

CVE-2026-62878 — RCE Windows DNS Server (CVSS 9.8, auto-propageable)

CVE-2026-62878 est la plus sévère des trois. Il s'agit d'un débordement de tampon basé sur la pile (CWE-121) dans Windows DNS Server, qui permet à un attaquant distant non authentifié d'exécuter du code sur le réseau sans aucune interaction utilisateur, en envoyant un paquet spécialement conçu à un service DNS vulnérable — score de base CVSS 3.1 de 9,8 (windowsforum.com, cvefeed.io). La Zero Day Initiative et plusieurs médias couvrant cette livraison décrivent la faille comme auto-propageable (« wormable »), ce qui signifie qu'un seul serveur DNS exploité pourrait être utilisé pour compromettre automatiquement d'autres serveurs sans interaction supplémentaire de l'attaquant (Zero Day Initiative's August 2026 Security Update Review ; SecurityAffairs).

⚠️

⚠️ Avertissement : Microsoft évalue l'exploitation comme « moins probable » et indique que la faille n'est ni exploitée dans la nature ni divulguée publiquement à la date de la livraison du 11 août 2026 (windowsforum.com, SecurityAffairs). Il s'agit d'un instantané, pas d'une garantie — les failles auto-propageables, non authentifiées, avec un CVSS de 9,8, correspondent exactement au profil qui, historiquement, bascule vers une exploitation active dès qu'un PoC public apparaît.

CVE-2026-62878 n'était pas la seule RCE DNS Server de ce cycle. L'analyse du Patch Tuesday d'août 2026 par CrowdStrike a recensé quatre RCE Windows DNS Server critiques au total dans cette livraison — CVE-2026-62878 (9,8), CVE-2026-62817 (8,8), CVE-2026-62820 (8,1) et CVE-2026-65789 (8,1) — toutes accessibles en envoyant des paquets spécialement conçus à un serveur DNS vulnérable, sans interaction utilisateur requise. Tout DC exécutant le rôle DNS Server a besoin des quatre correctifs, pas seulement du CVE le plus médiatisé.

CVE-2026-62818 — RCE Windows AD CS (CVSS 8.8, use-after-free)

CVE-2026-62818 est une faille critique d'exécution de code à distance dans Active Directory Certificate Services : un use-after-free (CWE-416) qu'un attaquant distant authentifié à faibles privilèges peut déclencher sur le réseau, sans interaction utilisateur et avec une faible complexité d'attaque — score de base CVSS 3.1 de 8,8 (windowsforum.com). Contrairement à la faille DNS, celle-ci exige que l'attaquant détienne déjà un compte à faibles privilèges avec un accès réseau à la CA — mais AD CS constitue fréquemment la racine de confiance du domaine pour l'authentification par certificat, les cartes à puce, l'accès VPN, le TLS interne et l'identité des appareils, donc un bug d'exécution de code à distance à cet endroit mérite une priorité bien supérieure à une simple consigne « corrigez le serveur » (CrowdStrike).

Il s'agit de la deuxième faille de classe RCE touchant AD CS sur une infrastructure proche du contrôleur de domaine en autant de cycles de correctifs — voir l'article Certighost sur CVE-2026-54121 de juillet 2026, un mécanisme différent (usurpation par repli d'enrôlement plutôt qu'use-after-free) sur la même infrastructure de CA. Si votre CA d'entreprise n'a pas encore rattrapé le correctif de juillet, le CVE-2026-62818 d'août s'ajoute à la même liste de tâches — pour la surface d'attaque plus large des modèles de certificats au-delà de ces deux CVE, voir Attaques de certificats ADCS : comment ESC1 à ESC8 mènent à Domain Admin.

CVE-2026-49179 — RCE Windows AD DS (celle qui manque encore de détails publics)

CVE-2026-49179 est une vulnérabilité d'exécution de code à distance dans Windows Active Directory Domain Services, également publiée le 11 août 2026 à 7h00 (heure du Pacifique) (windowsforum.com). Voici ce qui n'est pas encore public : l'avis de Microsoft n'établit ni le chemin d'attaque, ni les versions de Windows Server concernées, ni l'exigence d'authentification, ni un score de base CVSS. Microsoft n'a pas précisé si la faille est pré-authentification, accessible depuis Internet, exploitée dans la nature, ou capable d'une compromission complète de la forêt (windowsforum.com).

ℹ️

ℹ️ Note : il s'agit d'une véritable lacune d'information, pas d'un oubli de cet article. Considérez CVE-2026-49179 comme à corriger en priorité, sur le seul critère du composant concerné — AD DS est le rôle central du contrôleur de domaine — et consultez directement le Security Update Guide du MSRC pour vos versions de serveur spécifiques avant de finaliser un plan de déploiement de correctifs, car le détail des avis est parfois complété après la publication initiale.

Détection : que surveiller dès maintenant

Aucune des trois CVE ne dispose d'un proof-of-concept public ni d'une exploitation confirmée dans la nature à l'heure où ces lignes sont écrites — le levier de « détection » le plus utile aujourd'hui est donc la visibilité sur la conformité des correctifs, pas la chasse aux IOC. Le tableau ci-dessous ajoute les indicateurs généraux qui compteraient si des tentatives d'exploitation démarraient.

Indicateur	Signal	Source	Pourquoi c'est important ici
Plantages/redémarrages de DNS Server	Entrées de plantage de service et processus enfants inattendus lancés par `dns.exe`	Journal des événements Windows (Application/Système) ; règle de détection Elastic « Unusual Child Process of dns.exe »	Un débordement de tampon basé sur la pile comme CVE-2026-62878 est susceptible de faire planter le service avant qu'un exploit ne réussisse — des plantages ou redémarrages répétés sur un DC portant le rôle DNS, ou dns.exe lançant un processus enfant inattendu, justifient tous deux une investigation
Anomalies d'émission de certificats	ID d'événement 4886 (requête reçue), 4887 (émis), 4888 (refusé)	Microsoft Learn : Audit Certification Services	CVE-2026-62818 nécessite d'interagir avec le chemin de requête/émission de la CA ; ces événements ne sont journalisés que si l'audit Certificate Services est activé sur la CA
Conformité des correctifs/builds	Statut de conformité de mise à jour WSUS, Intune ou SCCM par rapport à la mise à jour cumulative d'août 2026, pour la build OS exacte de chaque DC	Outillage de gestion des correctifs du fournisseur	Le chemin d'attaque de CVE-2026-49179 n'étant pas documenté publiquement, le signal le plus fiable disponible aujourd'hui est de savoir précisément quels DC n'ont pas encore la mise à jour — tout ce qui ne remonte pas comme conforme doit être traité comme exposé

💡

💡 Astuce : activez l'audit Certificate Services (auditpol /get /subcategory:"Certification Services") avant de vous fier à la télémétrie 4886/4887 — il n'est pas activé par défaut dans tous les déploiements AD CS.

# Inventorier quels serveurs portent chaque rôle critique de DC avant de corriger
Get-ADDomainController -Filter * | Select-Object Name, OperatingSystem, IPv4Address
Get-WindowsFeature -Name DNS, ADCS-Cert-Authority | Where-Object Installed

Remédiation : ordre de priorité des correctifs pour les environnements AD

Corrigez en premier les DC portant le rôle DNS Server. CVE-2026-62878 est non authentifiée, accessible sur le réseau, auto-propageable et notée CVSS 9,8 — le profil de risque le plus élevé des trois. Incluez les trois autres RCE DNS Server de ce cycle (CVE-2026-62817, CVE-2026-62820, CVE-2026-65789) dans la même mise à jour.
Corrigez ensuite les autorités de certification AD CS. CVE-2026-62818 exige un attaquant authentifié à faibles privilèges, ce qui réduit légèrement l'urgence par rapport à la faille DNS, mais toute CA est une racine de confiance à l'échelle du domaine — traitez-la comme un correctif à court terme, pas pour la « prochaine fenêtre de maintenance ». Pour le durcissement de la CA au-delà du correctif de ce mois-ci, voir Mapping de certificat faible dans AD CS : pourquoi la liaison forte compte.
Corrigez tous les contrôleurs de domaine restants pour AD DS. Même sans détail public sur le chemin d'attaque, CVE-2026-49179 touche le rôle central du DC. N'attendez pas plus de détails pour corriger ; le composant seul justifie l'action.
Faites l'inventaire avant de corriger. De nombreux environnements petits et moyens cohébergent les rôles DNS Server, CA AD CS et AD DS sur la même machine — un DC peut nécessiter les trois correctifs dans une seule fenêtre de maintenance. L'extrait PowerShell ci-dessus est un point de départ pour cet inventaire.
Si vous ne pouvez pas corriger immédiatement les DC portant le rôle DNS, restreignez l'exposition entrante du service DNS aux seuls segments réseau de confiance, à titre de mesure provisoire. Cela réduit l'exposition ; cela ne remplace pas le correctif.
Validez après correction. Vérifiez que la résolution DNS, l'enrôlement/auto-enrôlement de certificats et la réplication AD DS fonctionnent toujours normalement après la mise à jour, avant de clore la fenêtre de maintenance.

🚨 Danger : trois RCE touchant la surface des rôles du DC dans une seule livraison n'est pas une coïncidence à balayer d'un revers de main — DNS, AD CS et AD DS gèrent ensemble la résolution de noms, l'authentification par certificat et l'annuaire lui-même. Un seul DC non corrigé, exposé sur l'un de ces trois services, constitue un point d'entrée viable.

Comment EtcSec détecte l'exposition associée

Aucune de ces trois CVE n'est en soi une mauvaise configuration que le catalogue d'audit EtcSec peut signaler — ce sont des conditions de correctif manquant, et EtcSec audite l'exposition liée à la configuration et aux privilèges, pas l'inventaire des hotfix. Ce que le catalogue met en évidence, c'est l'ampleur des dégâts qu'une compromission de DC via l'un de ces chemins pourrait ensuite causer : les permissions permettant le DCSync identifient les comptes qui pourraient extraire les secrets de l'annuaire si un attaquant utilise l'une de ces RCE pour atteindre un contrôleur de domaine, et ADCS Weak Permissions signale les lacunes de durcissement au niveau de la CA, indépendamment du correctif de ce mois-ci — les deux réduisent le rayon d'impact même si aucun ne détecte directement CVE-2026-62878, CVE-2026-62818 ou CVE-2026-49179.

ℹ️

ℹ️ Note : EtcSec vérifie automatiquement les permissions permettant le DCSync et les mauvaises configurations ADCS lors de chaque audit AD. Lancez un audit gratuit pour vérifier l'exposition globale de votre environnement pendant que vous confirmez le statut de correctif des trois CVE d'août 2026.

Patch Tuesday août 2026 Active Directory contrôleur de domaine RCE : 3 failles à ne pas reporter