Un use-after-free dans le pilote que touche chaque socket Windows

CVE-2026-68820 se situe dans AFD.sys, l'Ancillary Function Driver pour WinSock, le composant en mode noyau que toute application Windows touche dès qu'elle ouvre un socket réseau. L'avis de Microsoft le décrit comme un use-after-free déclenché par une condition de concurrence: un attaquant authentifié localement peut exécuter une application spécialement conçue qui sollicite le pilote depuis plusieurs threads à la fois, le surprend dans un état incohérent et exploite cette incohérence pour exécuter du code dans le noyau. L'avis fixe le score de base CVSS à 7,0 et le résultat sans détour comme une élévation de privilèges vers SYSTEM, le niveau de contrôle le plus élevé qu'accorde une machine Windows.

Le mot 'authentifié localement' compte autant que le mot 'noyau'. Cette faille ne fait pas entrer un extérieur dans une machine à elle seule; elle transforme quelqu'un qui exécute déjà du code sur cette machine en son propriétaire. Cette distinction n'est pas un détail technique. C'est exactement la forme de la seconde étape d'une intrusion, et c'est autour de cette étape que cet acteur a construit toute sa campagne.

Operation Dream Job: un faux recruteur comme porte d'entrée

Les chercheurs de Check Point Moshe Marelus et David Driker ont attribué l'exploitation active de CVE-2026-68820 au groupe nord-coréen Lazarus, dans le cadre de la campagne d'appât de longue date que la firme suit sous le nom d'Operation Dream Job. L'approche est sociale, pas technique: des sollicitations de recrutement falsifiées se faisant passer pour Lockheed Martin et la société de technologies de confidentialité Enveil, envoyées à des employés d'organisations de défense, d'aéronautique et d'aviation dans plusieurs pays, avec une activité concentrée contre des cibles en Europe et en Inde. L'appât est une offre d'emploi attrayante; la pièce jointe est la charge de la première étape.

Dès qu'une cible ouvrait l'appât et exécutait le fichier joint, les opérateurs obtenaient une exécution de code locale, la condition préalable dont CVE-2026-68820 a besoin. À partir de là, Check Point a observé une nouvelle variante en mode noyau du rootkit FudModule déployée aux côtés d'une porte dérobée jusque-là inconnue que la firme a nommée Troy, puis la condition de concurrence d'AFD.sys utilisée pour passer d'un processus ordinaire à SYSTEM. Un courriel convaincant, un clic, et un opérateur lié à un État possède entièrement le poste.

Dix semaines entre la première exploitation et le correctif

Check Point affirme avoir observé pour la première fois des attaquants s'acharner sur cette faille précise début juin 2026. Microsoft n'a livré de correctif que lors du cycle du Patch Tuesday du 11 août, ce qui laisse environ dix semaines entre une exploitation confirmée sur le terrain et l'existence même d'un correctif. La CISA a ajouté CVE-2026-68820 à son catalogue des vulnérabilités exploitées connues le jour même de la sortie du correctif, avec une échéance au 25 août au titre de la Binding Operational Directive 26-04.

Le correctif lui-même est arrivé dans une publication mensuelle volumineuse: le décompte propre de Microsoft pour ce cycle s'est élevé à 421 CVE, tandis que le traqueur indépendant Zero Day Initiative en a compté 398 nouveaux, dont 62 classés critiques. Quel que soit le décompte retenu, CVE-2026-68820 était le seul élément que Microsoft a signalé comme activement exploité ce mois-là, une attaque réelle confirmée au sein d'un lot de plusieurs centaines de failles théoriques.

Pourquoi le Patch Tuesday ne peut pas être le système d'alerte précoce du secteur de la défense

Le Patch Tuesday tourne sur une horloge mensuelle fixe. Une campagne ciblée d'un acteur étatique tourne sur son propre calendrier, et dans ce cas ce calendrier a donné à Lazarus environ dix semaines d'accès SYSTEM fonctionnel contre exactement le secteur le moins tolérant à cela. Pour la plupart des industries, une fenêtre d'exposition de dix semaines sur une faille locale de gravité moyenne est un coût acceptable d'un cycle de correctifs mensuel. Pour un sous-traitant de la défense déjà choisi sur mesure par un service de renseignement étatique via une fausse offre d'emploi, cette même fenêtre est la campagne entière, du début à la fin, menée à terme avant qu'un correctif existe pour l'interrompre.

L'échec ici n'a jamais été la cadence des correctifs; Microsoft a agi dès que l'exploitation a été confirmée, et le correctif est arrivé dans un cycle de publication normal. La lacune se trouvait dans la détection pendant les dix semaines où aucun correctif n'existait pour la combler. Cela recadre le vrai problème pour les équipes de sécurité de la défense et de l'aéronautique: l'exposition qu'elles doivent gérer n'est pas d'abord un problème de vitesse de correction, c'est un problème de détection comportementale et d'ingénierie sociale, et traiter la conformité mensuelle aux correctifs comme réponse à une campagne ciblée revient à mal lire ce qu'a été cette campagne.

Ce que les équipes de sécurité de la défense et de l'aéronautique doivent faire cette semaine

Appliquez le correctif d'août dès maintenant; cette étape n'est pas optionnelle. Mais le correctif seul ne résout pas la fenêtre de dix semaines que cet incident vient de démontrer, alors associez-le à une détection calibrée sur la technique plutôt que sur le numéro de CVE: élévation de privilèges inattendue provenant de la gestion de sockets ou d'une activité au niveau pilote, chargements de pilotes en mode noyau non signés ou inconnus en dehors d'une fenêtre de changement planifiée, et comportement de persistance de type rootkit plutôt qu'une correspondance de signature contre un hachage de fichier précis qui sera différent la prochaine fois.

Ensuite, traitez les sollicitations de recrutement comme une surface d'attaque pour quiconque occupe un poste qui en fait une cible plausible: ingénieurs et personnel de programme dont les profils publics mentionnent des programmes de défense ou d'aéronautique, et contacts des ressources humaines et du recrutement qui reçoivent par nature des approches non sollicitées. Une étape de vérification courte et obligatoire avant d'ouvrir une pièce jointe provenant d'un recruteur inconnu, aussi crédible que paraisse la marque, ferme exactement le point d'entrée que cette campagne a utilisé à chaque fois.

À lire ensuite: Votre MSP a une seconde faille de contournement  |  Infiltré : le réseau de hackers nord-coréens