Le Patch Tuesday d'août 2026 de Microsoft est tombé comme une bombe le 11 août — 421 vulnérabilités corrigées en une seule publication, en faisant l'une des plus importantes de l'histoire de l'entreprise. Mais enfoui dans cette montagne de CVE se trouve celui qui devrait faire perdre le sommeil à chaque équipe de sécurité ce soir : CVE-2026-68820, un jour zéro activement exploité dans le noyau Windows que le groupe Lazarus de Corée du Nord arme silencieusement depuis début juillet.
Ceci n'est pas théorique. Ceci n'est pas une preuve de concept sur GitHub. De vrais attaquants étatiques utilisent cette faille en ce moment même pour installer des rootkits de noyau sur des machines Windows dans des organisations de défense, aérospatiale et de développement logiciel. Si votre équipe utilise Windows — et qui ne l'utilise pas — c'est le correctif qui ne peut pas attendre le prochain sprint.
Ce que CVE-2026-68820 fait réellement
La vulnérabilité réside dans afd.sys — le pilote de fonction auxiliaire pour WinSock. Si ce nom vous semble familier, il devrait l'être. Ce pilote en mode noyau sous-tend l'API Windows Sockets, ce qui signifie que pratiquement chaque opération réseau sur chaque installation Windows passe par lui. Il est une cible favorite depuis des années : CVE-2024-38193, CVE-2025-21418, CVE-2025-32709 — tous dans le même pilote.
CVE-2026-68820 est une faille d'utilisation après libération. Lorsque plusieurs threads interagissent avec l'état du socket simultanément, le pilote peut libérer un objet mémoire tandis qu'un autre thread détient encore une référence vers celui-ci. Un attaquant avec un accès local — même à faibles privilèges — peut déclencher une condition de course qui corrompt la mémoire du noyau, échange les jetons de processus et escalade directement vers SYSTEM.
Microsoft l'a noté CVSS 7.0 avec une "complexité d'attaque élevée" parce que gagner une condition de course nécessite un timing précis. Mais voici le point : les scripts d'exploitation automatisés peuvent forcer cette fenêtre de timing en quelques secondes par force brute. Les groupes étatiques comme Lazarus ne transpirent pas devant les notes de complexité CVSS.
Operation Dream Job : Comment Lazarus l'a armé
Check Point Research a découvert l'exploitation et l'a directement liée à Operation Dream Job — la campagne d'ingénierie sociale de longue date du groupe Lazarus ciblant les développeurs, les ingénieurs de défense et les professionnels de l'aérospatiale. La chaîne d'attaque est élégamment glaçante :
- Ingénierie sociale sur LinkedIn — Les attaquants se font passer pour des recruteurs de sociétés de défense, envoyant aux cibles des descriptions de poste et des "évaluations techniques"
- Visionneuses PDF trojanisées — Les victimes téléchargent une application modifiée (surnommée "SecurityPDF") qui dépose un backdoor léger appelé "Troy"
- Escalade de privilèges via CVE-2026-68820 — Le backdoor Troy déclenche la condition de course de afd.sys, escaladant de faibles privilèges vers SYSTEM
- Déploiement du rootkit FudModule — Avec l'accès SYSTEM, Lazarus installe une version mise à jour du rootkit de noyau FudModule qui utilise la manipulation directe d'objets du noyau (DKOM) pour aveugler les agents EDR, désactiver Windows Defender et dissimuler toutes les traces de compromission
Le résultat ? Une machine qui apparaît propre à chaque outil de surveillance tout en étant entièrement sous le contrôle de l'attaquant. Check Point a observé l'exploitation pour la première fois début juillet 2026 — ce qui signifie que ce jour zéro a été armé silencieusement pendant environ six semaines avant le correctif de Microsoft.
Ce n'est pas seulement le jour zéro : Trois failles CVSS 9.8 que vous ne pouvez pas ignorer
Alors que CVE-2026-68820 domine les gros titres, trois vulnérabilités supplémentaires ont obtenu un score quasi parfait de 9.8 et ne nécessitent aucune authentification :
- CVE-2026-62878 — Serveur DNS Windows — Un débordement de tampon basé sur la pile exploitable sur le réseau. Si vous exécutez Windows Server en tant que résolveur DNS, vous êtes exposé.
- CVE-2026-62893 — Services de déploiement Windows — Une faille dans la gestion TFTP exploitable sans authentification. Courante dans les centres de données d'entreprise.
- CVE-2026-62815 — Implémentation QUIC de Microsoft — Une vulnérabilité dans la bibliothèque de transport HTTP/3 de Microsoft utilisée dans plusieurs services et applications .NET.
Aucune n'a été exploitée dans la nature pour l'instant, mais l'histoire montre que les failles CVSS 9.8 non authentifiées attirent du code d'exploitation fonctionnel dans les jours suivant la divulgation. La fenêtre d'exploitation se mesure en heures, pas en semaines.
La chaîne RCE de SharePoint est maintenant complète
Si vous avez corrigé le CVE-2026-55040 de juillet (contournement d'authentification SharePoint, CVSS 9.1), bien — mais vous n'êtes que partiellement protégé. Août livre CVE-2026-63520, le composant RCE manquant qui complète la chaîne. Ensemble, ils créent un chemin entièrement exploitable pour l'exécution de code à distance non authentifiée contre SharePoint Server sur site.
Si vous n'avez corrigé aucun des CVE, vous avez une porte RCE ouverte dans votre déploiement SharePoint en ce moment.
Ce que cela signifie pour votre équipe
Pour les entreprises exécutant une infrastructure Windows — stations de travail de développeurs, agents de build CI/CD, pipelines Azure DevOps, environnements Windows Server — ce Patch Tuesday n'est pas une mise à jour de routine. C'est une urgence.
Les machines des développeurs sont la cible principale. Lazarus chasse spécifiquement les ingénieurs logiciel parce que leurs machines contiennent le code source, les jetons d'API cloud, les clés SSH et l'accès aux systèmes internes. Un seul ordinateur portable de développeur compromis peut devenir un vecteur d'attaque de la chaîne d'approvisionnement affectant chaque client en aval.
Les rootkits de noyau changent la donne. Une fois que FudModule est déployé au niveau SYSTEM, la sécurité des points de terminaison traditionnelle est aveugle. Vous ne pouvez pas détecter ce que vous ne pouvez pas voir, et FudModule est spécifiquement conçu pour rendre les agents EDR sourds, muets et aveugles.
Votre plan d'action
- Corrigez immédiatement — Déployez les mises à jour cumulatives d'août 2026 de Microsoft sur tous les points de terminaison et serveurs Windows. Priorisez les stations de travail des développeurs et le personnel à haut risque.
- Auditez pour les compromissions — Le correctif élimine la vulnérabilité mais ne nettoie pas les infections existantes. Si vous êtes dans la défense, l'aérospatiale ou le développement logiciel, supposez que vous pourriez déjà être compromis et cherchez des indicateurs.
- Appliquez le moindre privilège — Supprimez les droits administratifs des comptes utilisateurs finaux. Si les attaquants doivent escalader via un exploit de noyau, le risque de déclencher un BSOD (et d'alerter votre SOC) augmente considérablement.
- Surveillez les interactions de afd.sys — Configurez l'EDR pour détecter la manipulation suspecte du pool mémoire, les interactions de processus anormales avec le pilote WinSock et les transitions inattendues vers l'exécution au niveau SYSTEM.
- Renforcez contre l'ingénierie sociale — Formez votre équipe à reconnaître les hameçonnages à thème professionnel. Si un "recruteur" envoie une visionneuse PDF ou vous demande d'exécuter un exécutable d'"évaluation technique", c'est un drapeau rouge, pas une opportunité.
La vue d'ensemble
Microsoft attribue l'explosion du volume du Patch Tuesday à l'utilisation accrue d'outils d'audit de code source alimentés par l'IA. Plus de bogues trouvés signifie plus de bogues corrigés — ce qui est une bonne nouvelle à long terme. Mais l'écart entre la divulgation et l'exploitation continue de se réduire. CVE-2026-68820 a été armé six semaines avant que le correctif n'existe. Les trois failles CVSS 9.8 verront probablement du code PoC dans les jours à venir.
La leçon est claire : la vélocité de correction est désormais un avantage concurrentiel. Les organisations qui peuvent déployer des mises à jour critiques en 48 heures survivront. Celles qui attendent "la prochaine fenêtre de maintenance" jouent avec leur infrastructure.
Chez aratech, nous aidons les entreprises à construire une infrastructure axée sur la sécurité capable de répondre aux menaces à la vitesse à laquelle elles émergent. Parce qu'en 2026, les attaquants n'attendent pas votre processus de gestion du changement — et vos correctifs ne devraient pas non plus.