CVE-2026-72982 : exécution de code à distance non authentifiée dans Windows netlogon (compromission de contrôleur de domaine)

HERMES

SCORE DE MENACE HERMES & COMPROMISSION D'INFRASTRUCTURE MICROSOFT

Cible : Windows Netlogon Service (lsass.exe / netlogon.dll)

Confiance : 95%

99 / 100

CRITIQUE

Mesure la pertinence opérationnelle réelle, la militarisation de l'exploit et la posture de menace active.

Décomposition des dimensions

Exploitabilité 19 / 20

Activité de menace 18 / 20

Militarisation 18 / 20

Exposition 20 / 20

Prévalence 20 / 20

Impact 20 / 20

Maturité de l'exploit 18 / 20

Potentiel d'attaque en chaîne 20 / 20

⚖️ Divergence & Justification opérationnelle

Le score CVSS v3.1 attribue à la vulnérabilité CVE-2026-72982 le score de 9.8 (CRITICAL, CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Le score de menace Hermes évalue le risque opérationnel à 99 (CRITICAL), prenant en compte son rôle critique dans les écosystèmes d'entreprise Windows et sa pertinence dans la vague du Patch Tuesday de septembre 2026.

🕸️ Graphe de connaissances connecté & Provenance

CVE-2026-72982: Windows Netlogon Unauthenticated Remote Code Execution (Domain Controller Takeover)VULNÉRABILITÉ

Nœuds connectés : 1

Relations sortantes actives

→ affectsCOMPOSANTMicrosoft Windows & Windows Server

98% VERY_HIGH

Software platform affected by security vulnerabilities and agentic attack patterns.

🔍 Pourquoi cette relation ? (Preuves & Provenance)

“Confirmed security vulnerability in Microsoft Windows & Windows Server documented in Hermes dossier.”

Preuves vérifiées associées :

• [vulnerability_report]
• [government_confirmation]CISA verified active exploitation in the wild and mandated federal remediation deadline in KEV entry. — Source : Cybersecurity & Infrastructure Security Agency (CISA): CISA Adds CVE-2026-59822 to Known Exploited Vulnerabilities Catalog (Fiabilité : VERY_HIGH)

Alerte de sécurité critique : RCE sans authentification

CVSS v3.1 : 9.8 critical : (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) / CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer. Vulnérabilité critique de premier rang dans le Patch Tuesday de septembre 2026. Exploitable à distance sans authentification ni interaction utilisateur préalable.

Résumé exécutif

La vulnérabilité CVE-2026-72982 est une faille critique d’exécution de code à distance (RCE) non authentifiée dans le protocole Windows Netlogon (MS-NRPC). En transmettant des paquets réseau spécialement forgés au service Netlogon d’un contrôleur de domaine, un attaquant distant non authentifié peut corrompre la mémoire de lsass.exe, exécuter du code arbitraire avec les privilèges SYSTEM et compromettre l’ensemble de la forêt Active Directory.

---

1. Contexte technique & matrice des versions affectées

Cette vulnérabilité s’inscrit dans la mise à jour historique du Patch Tuesday de septembre 2026 publiée par Microsoft, adressant un total record de 972 vulnérabilités dont deux zero-days exploitées dans la nature et 113 failles critiques.

Paramètre	Spécification Technique	Contexte Threat Intelligence
Identifiant CVE	CVE-2026-72982	Bulletin officiel Microsoft MSRC Septembre 2026
Composant vulnérable	Windows Netlogon Service (lsass.exe / netlogon.dll)	Cœur de l’infrastructure Windows / Active Directory
Faiblesse CWE	CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer	Normalisation mémoire et contrôle des flux d’exécution
Score CVSS v3.1	9.8 (CRITICAL)	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Statut d’exploitation	Armement d’exploits en cours (Preuve de concept disponible)	Priorité de remédiation maximale
Systèmes affectés	Windows 10, Windows 11 (22H2, 23H2, 24H2), Windows Server (2019, 2022, 2025)	Parc client et serveur d’entreprise
Correctifs Microsoft	Mises à jour cumulatives de septembre 2026 (KB5043064, KB5043076, KB5043080)	Déploiement d’urgence recommandé

---

2. Décomposition technique approfondie & cause racine

Le service Netlogon (netlogon.dll, hébergé dans lsass.exe) assure l’authentification des utilisateurs et des machines dans les domaines Active Directory, l’établissement des canaux sécurisés et la réplication des secrets.

La CVE-2026-72982 réside dans l’analyse des paramètres de négociation de canal sécurisé lors des appels RPC (tels que NetrServerAuthenticate3). La sous-routine omet de valider la taille des tampons de défi cryptographique avant de les copier dans un tampon de pile de taille fixe.

Cette opération intervenant avant toute vérification d’authenticité du client, un attaquant non authentifié présent sur le réseau peut provoquer un écrasement de pile, exécutant du code malveillant arbitraire au sein de lsass.exe et obtenant le contrôle absolu du contrôleur de domaine.

Analyse conceptuelle du code & mécanisme de corruption

// Netlogon secure channel negotiation flaw
RPC_STATUS NetrServerAuthenticate3_Handler(
    handle_t BindingHandle,
    LPWSTR ServerName,
    LPWSTR AccountName,
    NETLOGON_SECURE_CHANNEL_TYPE SecureChannelType,
    LPWSTR ComputerName,
    PNETLOGON_AUTHENTICATOR ClientAuthenticator
) {
    UCHAR LocalChallenge[16];
    // VULNERABILITY: ClientAuthenticator->Credential.Data length is not checked against 16 bytes!
    memcpy(LocalChallenge, ClientAuthenticator->Credential.Data, ClientAuthenticator->Credential.Length);
    // Overflows return address on the stack before cryptographic validation occurs!
}

---

3. Vecteurs d’attaque, exploitation & scénarios de menace

Dans le cadre d’une cyberattaque d’entreprise, cette vulnérabilité constitue un maillon charnière de la chaîne d’intrusion (MITRE ATT&CK) :

1. Vecteur initial / pivot : l’attaquant cible le service réseau sans nécessiter de privilèges préalables.
2. Élévation / prise de contrôle : obtention immédiate des droits NT AUTHORITY\SYSTEM ou de l’évasion de sandbox.
3. Mouvement latéral & persistance : utilisation des protocoles d’administration pour compromettre l’Active Directory.

---

4. Triage forensique & chasse aux menaces

Règle de détection Sigma

title: Unauthenticated Netlogon RPC Flood (CVE-2026-72982)
id: d72982aa-2026-4003-9004-cve72982netlogon
status: stable
description: Detects abnormal high-frequency RPC traffic or crashes in lsass.exe associated with Netlogon exploitation.
author: Hermes Codex Threat Research
logsource:
  category: network_connection
  product: windows
detection:
  selection:
    DestinationPort: [445, 135]
    Protocol: tcp
  condition: selection
level: high

Requête de chasse KQL (Microsoft Defender / Sentinel)

SecurityEvent
| where EventID in (5805, 5723, 4625)
| where AccountType == "Machine"
| summarize FailureCount = count() by bin(TimeGenerated, 5m), Computer
| where FailureCount > 10

---

5. Stratégie de remédiation & mesures d’atténuation

Appliquer d’urgence les correctifs de septembre 2026 sur tous les contrôleurs de domaine. Forcer la signature et le chiffrement RPC par GPO (RequireSignOrSeal = 1) et isoler les contrôleurs de domaine par micro-segmentation.

1. Application immédiate des correctifs MSRC : déployer le rollup de septembre 2026 sur les postes et contrôleurs de domaine.
2. Isolation réseau : restreindre l’exposition des ports d’écoute d’administration aux seuls segments autorisés.
3. Audit de télémétrie : surveiller les alertes EDR et les plantages anormaux de processus système via les règles Sigma et KQL fournies.

---

6. Liens & références croisées

Dossier Synthèse : patch Tuesday Septembre 2026 (972 CVEs) Vue d'ensemble du record historique de correctifs Microsoft, des zero-days et de ShieldCrash.

Analyse du Cadre MITRE ATT&CK & Détection DFIR Méthodologie de chasse aux menaces et de détection des mouvements latéraux.