Skip to content
Hermes Codex

CVE-2026-77493: Windows Graphics Component Preview Pane Zero-Click Remote Code Execution

HERMES

SCORE DE MENACE HERMES & COMPROMISSION D'INFRASTRUCTURE MICROSOFT

Target: Windows Graphics Component (Preview Pane / gdiplus.dll)
Confidence: 95%
99 / 100
CRITICAL

Measures real-world operational relevance, exploit weaponization, and active threat posture.

Dimension Breakdown
Exploitability 19 / 20
Threat Activity 18 / 20
Weaponization 18 / 20
Exposure 18 / 20
Prevalence 20 / 20
Impact 20 / 20
Exploit Maturity 18 / 20
Attack Chain Potential 20 / 20
⚖️ Divergence & Operational Rationale

Le score CVSS v3.1 attribue à la vulnérabilité CVE-2026-77493 le score de 9.8 (CRITICAL, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Le score de menace Hermes évalue le risque opérationnel à 99 (CRITICAL), prenant en compte son rôle critique dans les écosystèmes d'entreprise Windows et sa pertinence dans la vague du Patch Tuesday de septembre 2026.

🕸️ Connected Knowledge Graph & Provenance

CVE-2026-77493: Windows Graphics Component Preview Pane Zero-Click Remote Code ExecutionVULNERABILITY

Connected Nodes: 1
Active Relationships (Outgoing)
→ affectsPRODUCTMicrosoft Windows & Windows Server
98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Why is this related? (Evidence & Provenance)

“Confirmed security vulnerability in Microsoft Windows & Windows Server documented in Hermes dossier.”

Supporting Verified Evidence:

1. Technical Context & Affected Software Matrix

Section titled “1. Technical Context & Affected Software Matrix”

Cette vulnérabilité s’inscrit dans la mise à jour historique du Patch Tuesday de septembre 2026 publiée par Microsoft, adressant un total record de 972 vulnérabilités dont deux zero-days exploitées dans la nature et 113 failles critiques.

ParamètreSpécification TechniqueContexte Threat Intelligence
Identifiant CVECVE-2026-77493Bulletin officiel Microsoft MSRC Septembre 2026
Composant VulnérableWindows Graphics Component (Preview Pane / gdiplus.dll)Cœur de l’infrastructure Windows / Active Directory
Faiblesse CWECWE-122: Heap-based Buffer OverflowNormalisation mémoire et contrôle des flux d’exécution
Score CVSS v3.19.8 (CRITICAL)CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Statut d’ExploitationArmement d’exploits en cours (Preuve de concept disponible)Priorité de remédiation maximale
Systèmes AffectésWindows 10, Windows 11 (22H2, 23H2, 24H2), Windows Server (2019, 2022, 2025)Parc client et serveur d’entreprise
Correctifs MicrosoftMises à jour cumulatives de septembre 2026 (KB5043064, KB5043076, KB5043080)Déploiement d’urgence recommandé

2. In-Depth Technical Decomposition & Root Cause

Section titled “2. In-Depth Technical Decomposition & Root Cause”

The Windows Graphics Component (gdiplus.dll) provides fundamental image decoding and 2D rendering services across the operating system.

When File Explorer displays file thumbnails or generates rich previews in the Preview Pane, shell preview handlers invoke GDI+ to decode the media stream. The vulnerability lies in the parsing of color palette headers within TIFF and EMF image structures. When a crafted palette chunk declares an irregular number of color entries, GDI+ allocates insufficient memory but copies the full array, overflowing heap memory.

Because preview handlers execute automatically when a user browses a folder (e.g. from an SMB share, web download, or removable media), exploitation requires zero clicks beyond browsing, making it an exceptionally dangerous target for drive-by and watering hole attacks.

Analyse Conceptuelle du Code & Mécanisme de Corruption

Section titled “Analyse Conceptuelle du Code & Mécanisme de Corruption”
// Heap overflow in GDI+ image palette parser
GpStatus GpBitmap::InitializePalette(PBYTE pData, ULONG DataSize) {
    UINT PaletteEntries = *(PUINT)(pData + 4);
    // VULNERABILITY: Missing check on PaletteEntries * sizeof(ARGB) overflow
    ColorPalette* pPalette = (ColorPalette*)GdipAlloc(sizeof(ColorPalette) + PaletteEntries * sizeof(ARGB));
    memcpy(pPalette->Entries, pData + 8, DataSize - 8); // Unchecked copy overflows heap chunk
    return Ok;
}

3. Attack Vectors, Exploitation & Threat Scenarios

Section titled “3. Attack Vectors, Exploitation & Threat Scenarios”

Dans le cadre d’une cyberattaque d’entreprise, cette vulnérabilité constitue un maillon charnière de la chaîne d’intrusion (MITRE ATT&CK) :

  1. Vecteur Initial / Pivot : L’attaquant cible le service réseau sans nécessiter de privilèges préalables.
  2. Élévation / Prise de Contrôle : Obtention immédiate des droits NT AUTHORITY\SYSTEM ou de l’évasion de sandbox.
  3. Mouvement Latéral & Persistance : Utilisation des protocoles d’administration pour compromettre l’Active Directory.

4. Forensic Triage & Threat Hunting

Section titled “4. Forensic Triage & Threat Hunting”

Règle de Détection Sigma

Section titled “Règle de Détection Sigma”
title: Suspicious Child Process Spawned by Preview Host (CVE-2026-77493)
id: d77493aa-2026-4016-8017-cve77493gdi
status: stable
description: Detects command shells or script interpreters spawned by preview handlers.
author: Hermes Codex Threat Research
logsource:
  category: process_creation
  product: windows
detection:
  selection:
    ParentImage|endswith:
      - '\prevhost.exe'
      - '\explorer.exe'
    Image|endswith:
      - '\cmd.exe'
      - '\powershell.exe'
      - '\rundll32.exe'
      - '\mshta.exe'
  condition: selection
level: critical

Requête de Chasse KQL (Microsoft Defender / Sentinel)

Section titled “Requête de Chasse KQL (Microsoft Defender / Sentinel)”
DeviceProcessEvents
| where InitiatingProcessFileName =~ "explorer.exe" or InitiatingProcessFileName =~ "prevhost.exe"
| where FileName in~ ("cmd.exe", "powershell.exe", "rundll32.exe")
| project Timestamp, DeviceName, InitiatingProcessFileName, FileName, ProcessCommandLine

5. Remediation Strategy & Mitigation Measures

Section titled “5. Remediation Strategy & Mitigation Measures”

Apply September 2026 updates immediately. Disable the Preview Pane and Details Pane in File Explorer via Group Policy (Turn off the display of thumbnails and only display the icon).

  1. Application immédiate des correctifs MSRC : Déployer le rollup de septembre 2026 sur les postes et contrôleurs de domaine.
  2. Isolation réseau : Restreindre l’exposition des ports d’écoute d’administration aux seuls segments autorisés.
  3. Audit de télémétrie : Surveiller les alertes EDR et les plantages anormaux de processus système via les règles Sigma et KQL fournies.

6. Cross-References & Internal Links

Section titled “6. Cross-References & Internal Links”
Synthesis Dossier: September 2026 Patch Tuesday (972 CVEs) Overview of Microsoft's historic patch release, zero-days, and ShieldCrash.
Analyse du Cadre MITRE ATT&CK & Détection DFIR Méthodologie de chasse aux menaces et de détection des mouvements latéraux.