Le 13 octobre 2026, Microsoft a corrigé une vulnérabilité qui permet à n’importe quel attaquant présent sur le réseau de ton domaine de viser directement tes contrôleurs — sans identifiants, sans phishing, sans compte compromis au préalable. La faille porte la référence CVE-2026-70229 et touche Active Directory Domain Services (AD DS) lui-même, pas un composant périphérique.
Ce correctif arrive dans un Patch Tuesday particulièrement chargé (1 407 failles corrigées au total selon le récapitulatif d’IT-Connect), mais celle-ci mérite qu’on s’y arrête : elle touche le cœur de ton infrastructure d’identité.
Ce que CVE-2026-70229 permet concrètement
Il s’agit d’un défaut d’autorisation (CWE-863) : AD DS ne vérifie pas correctement les droits d’un demandeur avant de traiter une opération privilégiée. Concrètement, un attaquant non authentifié peut envoyer des paquets réseau spécialement construits à un contrôleur de domaine pour y déclencher une exécution de code, sans identifiants et sans interaction utilisateur. Le vecteur CVSS publié est AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H, pour un score de base de 8.1.
Remarque importante sur la gravité : 8.1 place la faille dans la bande « élevée » (High) de l’échelle CVSS, pas dans la bande « critique » (9.0 et au-delà) — même si plusieurs relais de presse la qualifient de « critique » en se basant sur son impact plutôt que sur son score. La nuance vient du AC:H : la complexité d’attaque est haute. Microsoft précise que l’exploitation dépend de conditions réseau et d’un minutage précis, donc ce n’est pas le genre de faille qu’on déclenche en un clic depuis un script trouvé sur GitHub. Pas de preuve de concept publique à ce jour, et le score EPSS (probabilité d’exploitation à 30 jours) tourne autour de 0,71 %, ce qui reste bas.
Ceci dit, AD DS porte Kerberos, LDAP, la réplication et les GPO. Une exécution de code sur un contrôleur de domaine, même difficile à déclencher de façon fiable, ouvre la porte à la falsification de tickets, à la modification de l’appartenance aux groupes et au mouvement latéral vers tous les postes joints au domaine. Le score CVSS mesure la difficulté d’exploitation, pas la gravité de ce qui se passe une fois que ça marche.
Les correctifs par version de Windows Server
Le correctif est inclus dans les mises à jour cumulatives d’octobre, à appliquer en priorité sur tes contrôleurs de domaine avant les serveurs membres :
- Windows Server 2025 — KB5126646, build 26100.33650.
- Windows Server 2022 — KB5126655, build 20348.5761. C’est la dernière mise à jour du cycle de support grand public ; le support continue jusqu’au 14 octobre 2031.
- Windows Server 2019 — KB5126651, build 17763.9376.
- Windows Server 2016 — KB5126868, build 14393.9612. Installe d’abord la mise à jour de la pile de maintenance KB5126649 ; sur WSUS, approuve les deux KB.
Si tu fais encore tourner des contrôleurs de domaine sous Windows Server 2012 ou 2012 R2 : le support étendu (ESU) s’est arrêté exactement le même jour, le 13 octobre 2026. Les derniers correctifs de sécurité jamais publiés pour ces versions sont KB5126835 et KB5126836. Après ça, plus rien — ce Patch Tuesday était littéralement ta dernière fenêtre de rattrapage avant de migrer.
Le reste du lot d’octobre qui concerne tes contrôleurs de domaine
Deux autres changements de cette mise à jour valent le détour, même s’ils sont moins spectaculaires que le RCE non authentifié.
D’abord, la correction de l’ACL du conteneur Distributed Key Manager (DKM) d’AD FS, liée à CVE-2026-56155 — une faille d’élévation de privilèges exploitée comme zero-day et corrigée en juillet 2026. Depuis octobre, le correctif durcit automatiquement les ACL trop permissives sur ce conteneur, sans action de ta part. Si pour une raison précise tu as besoin de désactiver ce durcissement automatique (compatibilité avec un outillage tiers, par exemple), une valeur de registre nommée RemediateDkmAcl permet de l’opter-out — la procédure exacte est documentée dans KB5121391, à consulter avant de toucher à un environnement AD FS en production. C’est le même type d’abus de confiance d’infrastructure PKI/fédération que Certighost (CVE-2026-54121) dans AD CS, dont on parlait la semaine dernière : un composant périphérique de l’écosystème AD qui finit par accorder une confiance qu’il ne devrait pas.
Ensuite, une amélioration du canal sécurisé Netlogon dans KB5126646 : les serveurs membres se connectent plus fiablement aux contrôleurs de domaine déployés avant Windows Server 2025. Utile si tu es en pleine migration et que tu fais tourner des DC de générations mélangées pendant la transition.
Sur Windows Server 2022 et 2019, Microsoft ajoute aussi un audit NTLM avancé qui indique qui utilise encore NTLM, pourquoi il a été sélectionné, et où l’authentification a lieu — pratique pour repérer les dépendances avant le retrait progressif de NTLM.
Limiter l’exposition en complément du correctif
Patcher reste la priorité, mais un contrôleur de domaine joignable depuis n’importe quel poste du réseau reste un risque en soi, faille ou pas :
- Restreins l’accès réseau entrant aux ports d’administration AD (389, 636, 3268, 3269, 88, 445) aux seuls sous-réseaux d’administration légitimes.
- Administre AD DS uniquement depuis des postes d’administration durcis (PAW), jamais depuis un poste utilisateur standard.
- Audite les appartenances aux groupes à privilèges et les changements d’ACL récents ; surveille les ID d’événements 4662, 4670 et 5136.
- Surveille le trafic LDAP, RPC ou DRSUAPI inattendu émis par des hôtes qui ne sont pas des contrôleurs de domaine.
Une règle de pare-feu basique pour limiter l’administration AD à un sous-réseau dédié, à titre d’illustration :
New-NetFirewallRule -DisplayName "AD DS - Sous-reseau admin uniquement" `
-Direction Inbound -Protocol TCP `
-LocalPort 389,636,3268,3269,88,445 `
-RemoteAddress 10.10.0.0/24 -Action AllowFAQ
Ce correctif est-il vraiment urgent si rien n’est exploité pour l’instant ?
Oui. Le score EPSS bas et l’absence de preuve de concept publique aujourd’hui ne garantissent rien pour demain — l’ACL AD FS corrigée dans cette même mise à jour (CVE-2026-56155) était, elle, un zero-day activement exploité en juillet. Un contrôleur de domaine non patché reste la pire chose à laisser traîner, indépendamment du timing de l’exploitation publique.
La faille est-elle vraiment « critique » comme le disent certains titres ?
Au sens strict de l’échelle CVSS, non : 8.1 correspond à la bande « élevée », pas « critique » (9.0+). La complexité d’attaque haute (AC:H) explique cet écart avec la perception médiatique. Ça ne change rien à la priorité de patch sur tes DC — juste à la façon de présenter le risque si tu dois le justifier en interne.
Le correctif casse-t-il quelque chose en production ?
La page de KB5126646 référence un problème connu lié à WSUS (CVE-2025-59287, une faille RCE distincte). Vérifie les notes de version avant un déploiement en masse si tu administres WSUS en parallèle de tes contrôleurs de domaine.
Je suis encore sur Windows Server 2012 R2, qu’est-ce que je fais ?
Tu appliques KB5126836 maintenant si tu ne l’as pas encore fait — c’est le tout dernier correctif de sécurité jamais publié pour cette version, l’ESU s’est arrêté le 13 octobre 2026. Ensuite, tu planifies la migration sans attendre : il n’y aura plus de filet de sécurité au prochain problème.
En pratique
Patche tes contrôleurs de domaine avant tout le reste de ton parc ce mois-ci, dans cet ordre : DC, puis serveurs membres, puis postes de travail. Si tu gères encore des DC en 2012/2012 R2, c’est le moment de transformer « il faudra migrer un jour » en ticket planifié cette semaine — l’ESU ne reviendra pas te sauver la prochaine fois.
Laisser un commentaire