Passer au contenu principal
Image du blog CTI
Problématique émergente

Vulnérabilité critique de type « RCE » dans Netlogon sur les contrôleurs de domaine (CVE-2026-41089)

Une vulnérabilité critique permettant l'exécution de code à distance sans authentification dans Windows Netlogon (CVE-2026-41089, CVSS 9,8) permet à un attaquant distant d'exécuter du code avec les privilèges SYSTEM sur un contrôleur de domaine. Appliquez les mises à jour de sécurité « mai 2026 » sur tous les contrôleurs de domaine au cours de la même fenêtre de maintenance.

Le « Patch Tuesday » de Microsoft ( 12 mai 2026, ) a corrigé une faille critique d’exécution de code à distance dans Windows Netlogon (CVE-2026-41089) : un débordement de tampon basé sur la pile (CWE-121) avec un score CVSS de 9,8, découvert en interne par l’équipe Windows Attack Research & Protection (WARP) de Microsoft. Microsoft a estimé qu'il était « peu probable » que cette faille soit exploitée au moment de sa publication.

Le 29 mai 2026, le Centre pour la cybersécurité de Belgique (CCB) a averti que des pirates exploitaient la vulnérabilité CVE-2026-41089 dans la nature et a recommandé vivement d'appliquer immédiatement le correctif. Microsoft affirme ne disposer d'aucune preuve d'exploitation, mais recommande néanmoins d'installer la mise à jour ; plusieurs éditeurs signalent par ailleurs qu'un code de preuve de concept est en circulation.

En quoi consiste cette vulnérabilité ?

Netlogon est le service Windows chargé de l'authentification au sein d'un domaine. La vulnérabilité CVE-2026-41089 correspond à un débordement de tampon basé sur la pile, lié à la manière dont le service Netlogon traite une requête réseau spécialement conçue : une requête CLDAP mal formée adressée au port UDP 389 provoque le débordement d'un tampon de pile de taille fixe lorsque le service construit sa réponse. Le code vulnérable s'exécute au sein du processus LSASS sur le contrôleur de domaine ; ainsi, un attaquant non authentifié capable d'accéder au service via le réseau peut corrompre la mémoire et, dans certaines conditions, exécuter du code en tant que compte SYSTEM — héritant ainsi de l'identité complète du contrôleur de domaine —, ce qui peut aller jusqu'à la prise de contrôle totale d'Active Directory. Les tentatives infructueuses provoquent généralement un plantage de LSASS et le redémarrage du contrôleur de domaine, ce qui entraîne une situation de déni de service au niveau de la couche d'annuaire. Conformément au référentiel MITRE ATT&CK, les techniques concernées sont les numéros T1190, T1210 et T1068.

Points clés à retenir

  • Pré-authentification et accessibilité via le réseau : aucune information d'identification, aucun accès local ni aucune intervention de l'utilisateur ne sont requis.
  • La surface d'exposition correspond aux contrôleurs de domaine Windows Server accessibles sur le réseau via le service Netlogon (CLDAP, UDP/389).
  • En cas de réussite, cela entraîne l'exécution de code au niveau du SYSTÈME dans LSASS ; en cas d'échec, cela provoque généralement un plantage de LSASS et le redémarrage du contrôleur de domaine.
  • Toutes les versions prises en charge de Windows Server configurées en tant que contrôleurs de domaine sont concernées (Server 2012 à 2025). Les mises à jour de sécurité de Microsoft concernent les versions prises en charge (Server 2012 et versions ultérieures) ; les anciennes versions qui ne sont plus prises en charge, telles que Server 2008 et R2 , sont également vulnérables, mais leur correction repose sur des micropatches tiers (par exemple, 0patch/Acros) plutôt que sur des mises à jour officielles de Microsoft.

Comment Tanium peut vous aider

de Tanium Comply : Comply effectue des évaluations de vulnérabilité à l'aide de la bibliothèque de vulnérabilités Tanium, en associant les détections aux CVE et aux scores CVSS. Effectuez un diagnostic et filtrez les résultats pour le CVE-2026-41089 afin d'identifier les systèmes qui doivent encore recevoir la mise à jour « mai 2026 » ; donnez la priorité aux contrôleurs de domaine, puis au reste du parc Windows Server. Veuillez vérifier la couverture de cette CVE par la bibliothèque, car toutes les CVE ne sont pas détectables via les évaluations Comply.

des correctifs Tanium : Appliquez les correctifs à l'ensemble des contrôleurs de domaine ; une application partielle des correctifs crée une situation vulnérable, dans laquelle les attaquants ciblent les contrôleurs de domaine que vous n'avez pas encore mis à jour. Créez une liste de correctifs portant exclusivement sur les mises à jour « mai 2026 » pour vos versions de Windows Server, ciblez votre groupe d'ordinateurs de contrôleurs de domaine, puis effectuez le déploiement au cours d'une fenêtre de maintenance coordonnée. Appliquez la mise à jour de sécurité cumulative « mai 2026 » pour vos versions de Windows Server ; pour les versions actuelles de Windows Server et Windows 11 , celle-ci est fournie sous la référence « KB5089549 » (versions 26200,8457 et 26100,8457 du système d'exploitation). Vérifiez que la base de connaissances (KB) correspond bien à chaque version du système d'exploitation en vous référant au guide des mises à jour de sécurité Microsoft pour CVE-2026-41089, puis relancez l'évaluation « Comply » afin de vérifier que le problème a bien été résolu.

Références