ResetNightmare : vérifiez que vos contrôleurs de domaine ont le correctif d'avril

Le protocole Kerberos prévoit un mécanisme séparé pour changer un mot de passe, distinct de l'authentification classique : le kpasswd, défini par la RFC 3244. C'est là que Shai Laron, chercheur chez Semperis, a trouvé le défaut qu'il a baptisé ResetNightmare, présenté début août à la conférence Black Hat USA aux côtés d'une seconde faille, KerberLoss.

Le principe : en 2021, Microsoft avait corrigé une attaque connue sous le nom de « Dollar Ticket » en imposant une vérification d'identité, le contrôle du SID du demandeur (PAC_REQUESTOR_SID), à l'étape de la demande de ticket de service Kerberos (TGS-REQ). ResetNightmare contourne ce contrôle en passant par le mécanisme de changement de mot de passe, qui ne le vérifie pas de la même façon. Combiné au fait que tout compte du domaine a, par défaut, le droit de modifier son propre attribut UPN (User Principal Name), un attaquant qui contrôle un compte à faibles privilèges peut faire prendre à ce compte l'identité d'un autre, y compris un administrateur du domaine, puis lui réinitialiser le mot de passe sans jamais le connaître.

Aucun exploit compliqué, aucun outil sur mesure à écrire : Semperis a publié le code de démonstration sur GitHub, qui s'appuie sur PowerShell, le module Active Directory et l'outil Rubeus, déjà largement utilisé par les équipes de test d'intrusion. Le dépôt précise explicitement que l'attaque exige un accès à un contrôleur de domaine non corrigé.

Le correctif existe déjà

C'est le point à retenir avant de s'alarmer : Microsoft a corrigé CVE-2026-27912 lors du Patch Tuesday du 14 avril 2026, quatre mois avant sa présentation publique à Black Hat. La faille est classée « Important » par Microsoft, pas « Critique », ce qui explique en partie pourquoi elle est passée sous les radars à l'époque malgré une gravité réelle : un chemin direct d'un compte utilisateur ordinaire vers la prise de contrôle complète du domaine.

Selon IT-Connect, les mises à jour correspondantes portent les références suivantes selon la version de Windows Server : KB5082127 (2012), KB5082126 (2012 R2), KB5082198 (2016), KB5082123 (2019), KB5082142 (2022 21H2/22H2), KB5082060 (2022 23H2) et KB5082063 (2025). Si vos contrôleurs de domaine reçoivent leurs mises à jour de sécurité mensuelles sans interruption depuis avril, ils sont normalement déjà protégés.

Pourquoi vérifier quand même

Les contrôleurs de domaine sont, dans beaucoup de PME, les serveurs qu'on redémarre le moins souvent : ce sont eux qui font tourner l'ouverture de session, le partage de fichiers, parfois l'impression, et une fenêtre de maintenance dessus se négocie difficilement. C'est précisément le genre de machine où une mise à jour mensuelle peut avoir été reportée sans que personne ne s'en aperçoive, contrairement aux postes de travail qui redémarrent tout seuls.

La vérification ne demande pas d'outil spécialisé : dans l'historique des mises à jour Windows de chaque contrôleur de domaine (Paramètres > Windows Update > Historique des mises à jour), confirmez la présence d'une mise à jour cumulative installée en avril 2026 ou plus récente. Si l'historique montre un trou depuis le printemps, c'est le signal à traiter en priorité, avant même de chercher à confirmer si ResetNightmare a été utilisé chez vous.

Au-delà du correctif

Le correctif de Microsoft referme le contournement du contrôle de SID, mais le droit par défaut qui permet à un compte de modifier son propre UPN reste, lui, une caractéristique normale d'Active Directory, pas un bug. Semperis recommande, en complément, de surveiller les ajouts de permissions inhabituels sur les objets du domaine et de configurer l'audit des modifications (SACL) sur les attributs sensibles. Pour une PME sans équipe de sécurité dédiée, l'essentiel tient en une phrase : confirmer que le patch d'avril est installé sur chaque contrôleur de domaine règle l'urgence immédiate.